Un botnet de Linux recién descubierto, SSHStalker, está reviviendo el IRC (Internet Relay Chat) tradicional para ejecutar operaciones de comando y control (C2), según investigadores de Flare.
Aunque IRC puede parecer anticuado (inventado en 1988 y tuvo su auge en los 90) pero su simplicidad, interoperabilidad y bajo consumo de ancho de banda lo hacen atractivo para operadores de botnets que buscan infraestructura resiliente y de bajo costo.
¿Cómo operar SSHStalker?
La investigación de Flare reveló que SSHStalker prioriza escala y confiabilidad sobre sigilo, usando técnicas reminiscente de los primeros botnets:
- Acceso inicial: Escaneo automatizado de SSH y ataques de fuerza bruta, a menudo disfrazados como utilidades legítimas de Go basadas en nmap.
- Propagación: Máquinas comprometidas buscan otros objetivos SSH, generando un propagación tipo gusano.
- Comunicaciones C2: Bots IRC clásicos con servidores y canales codificados reclutan nuevas víctimas al botnet.
- Persistencia: Tareas Cron ejecutadas cada 60 segundos aseguran que el bot se reinicie si es terminado.
- Compilación de payloads: Los hosts víctimas descargan GCC para compilar binarios localmente, mejorando portabilidad y evasión.
El botnet también explota 16 CVEs del kernel de Linux de 2009–2010 para escalar privilegios en sistemas comprometidos.
Actividad y capacidades observadas
Los investigadores notaron varias funciones dentro de SSHStalker:
- Recolección de claves AWS y reconocimiento de cuentas en la nube
- Escaneo de sitios web para posibles objetivos
- Criptominado usando PhoenixMiner (Ethereum)
- Funcionalidad DDoS presente, aunque aún no observada en acción
Curiosamente, muchos bots infectados se conectan al servidor IRC y permanecen inactivos, lo que sugiere que el botnet podría estar probando infraestructura o almacenando accesos en lugar de atacar activamente.
Indicadores y consejos de Threat Hunting
Flare recomienda monitorear servidores en busca de signos de infección por SSHStalker:
- Instalación o ejecución inesperada de compiladores
- Tareas Cron con intervalos de 1 minuto desde rutas inusuales
- Tráfico saliente estilo IRC
- Uso de exploits antiguos de Linux
Estrategias de mitigación
Para reducir el riesgo de compromisos por SSHStalker:
- Deshabilitar autenticación por contraseña en SSH; usar solo login por clave
- Eliminar compiladores de imágenes de producción para evitar compilación de payloads
- Aplicar filtrado de salida para bloquear conexiones no autorizadas
- Restringir ejecución desde
/dev/shmy otros directorios no estándar