Lightning Framework, un malware Linux tuttofare: rootkit, backdoor, chi più ne ha, più ne metta

Lightning Framework è stato definito “il coltellino svizzero dei malware” da Intezer security, l’azienda che l’ha scoperto e ne ha pubblicato i dettagli in un lungo ed esaustivo articolo. Il riassunto del suo funzionamento è in questa, lo ammettiamo un filo complicata, immagine:

https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/

Lightning Framework è però costruito utilizzando una struttura semplice: un componente, definito downloader, che scarica e installa gli altri moduli e plug-in del malware, incluso il suo modulo principale, sui dispositivi Linux compromessi.

Il malware utilizza il typosquatting e si “traveste” da Seahorse, il gestore delle chiavi di crittografia di GNOME, per eludere il rilevamento sui sistemi infetti. Dopo aver contattato il suo server di comando e controllo (C2) tramite socket TCP inizia, di fatto, il cinema.

Dice Ryan Robertson, di Inetzer security:

The framework has both passive and active capabilities for communication with the threat actor, including opening up SSH on an infected machine, and a polymorphic malleable command and control configuration

Un bel mostriciattolo, non c’è che dire…

Sulla diffusione di questo simpatico amico i dati sono ancora in fase di raccolta, ma è facile capire come anche lo stesso rilevamento di sistemi infetti, viste le peculiarità descritte, possa non essere così immediato.

Occhi aperti!