Vecchi exploit, nuovi trucchi: la botnet SSHStalker dirotta silenziosamente sistemi Linux legacy

Non è sempre il malware più recente a tenere svegli la notte gli esperti di sicurezza. A volte, le minacce più pericolose sono quelle che si annidano nell’ombra, sfruttando in silenzio gli angoli dimenticati di internet. Entra in scena SSHStalker-un’operazione botnet che sta ridando vita a vecchi bug del kernel Linux, tessendo una rete silenziosa di macchine compromesse con una precisione inquietante.

SSHStalker è uno studio di pazienza criminale e disciplina tecnica. A differenza delle tipiche botnet che dirottano computer per vistosi attacchi di distributed denial-of-service (DDoS) o per rapide razzie di criptovalute, SSHStalker sembra accontentarsi di prendere il controllo in silenzio-e poi aspettare. I suoi creatori l’hanno dotata di un kit di strumenti che fonde la compromissione di massa automatizzata con un museo di exploit del kernel Linux, prendendo di mira server che eseguono le ormai obsolete versioni 2.6.x. Questi exploit, pur inefficaci contro sistemi moderni e irrobustiti, risultano devastanti contro infrastrutture trascurate che girano ancora su codice vecchio.

Il processo di infezione è al tempo stesso efficiente e discreto. Uno scanner basato su Golang setaccia internet alla ricerca di server con porte SSH aperte, quindi distribuisce una gamma di payload-tra cui bot IRC e script Perl-che si connettono a canali IRC segreti. Qui, le macchine compromesse attendono ulteriori istruzioni. È significativo che SSHStalker non si lanci subito in attività criminali visibili. Al contrario, stabilisce un accesso persistente, ripulisce le proprie tracce manomettendo i log di connessione e impiega persino un meccanismo di “keep-alive” per garantire che i suoi processi malevoli vengano riavviati rapidamente se terminati dagli strumenti di sicurezza.

Ciò che rende SSHStalker particolarmente insidiosa è la sua orchestrazione accurata. L’architettura della botnet si basa su codice maturo e ben collaudato-scritto principalmente in C per prestazioni e furtività, con script di shell per automazione e persistenza. Pur non essendoci prove di nuovi exploit zero-day o di sviluppo di rootkit all’avanguardia, la disciplina operativa è notevole. Gli attaccanti mantengono un vasto arsenale di exploit legacy (inclusi molteplici CVE del 2009–2010), rootkit e persino strumenti per rubare credenziali cloud da siti web esposti.

Le evidenze indicano possibili origini rumene, con nickname e gergo dei canali IRC che corrispondono a schemi regionali noti. C’è anche una sovrapposizione con il gruppo di hacking Outlaw (alias Dota), noto per operazioni botnet simili. Eppure, forse l’aspetto più inquietante è la moderazione di SSHStalker. Evitando attacchi rumorosi e monetizzati, gli operatori potrebbero stare preservando i sistemi compromessi per operazioni future su scala maggiore-test, staging o accesso strategico che potrebbe essere trasformato in arma in qualsiasi momento.

SSHStalker è un promemoria netto del fatto che, nella cybersecurity, ciò che è vecchio può tornare nuovo. Mentre le organizzazioni si concentrano sul patching delle minacce più recenti, il dimenticato e l’obsoleto possono diventare il punto zero della prossima ondata di incursioni informatiche silenziose. La lezione è chiara: la vigilanza deve estendersi a ogni angolo del patrimonio digitale-soprattutto a quelli lasciati indietro.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da criminali informatici, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• IRC (Internet Relay Chat): IRC è un vecchio protocollo di chat ancora usato oggi, spesso abusato dagli hacker per controllare botnet e coordinare attacchi informatici.
• Exploit: Un exploit è una tecnica o un software che sfrutta una vulnerabilità in un sistema per ottenere accesso, controllo o informazioni non autorizzati.
• Rootkit: Un rootkit è un malware furtivo che si nasconde su un dispositivo, consentendo agli attaccanti di controllare segretamente il sistema ed eludere il rilevamento.
• Persistenza: La persistenza comprende tecniche usate dal malware per sopravvivere ai riavvii e restare nascosto sui sistemi, spesso imitando processi o aggiornamenti legittimi.