Un gruppo di hacker sconosciuto, sponsorizzato dallo stato cinese, è stato collegato a un nuovo tipo di malware indirizzato ai server Linux. La società francese di cybersecurity ExaTrack ha scoperto tre campioni del malware precedentemente documentato, risalenti all’inizio del 2022, e lo ha denominato Mélofée.
Il funzionamento del malware Mélofée
Uno degli artefatti di Mélofée è progettato per rilasciare un rootkit in modalità kernel basato su un progetto open source chiamato Reptile. Secondo le informazioni della società, il rootkit ha un set limitato di funzionalità, principalmente l’installazione di un hook progettato per nascondersi.
Sia l’impianto che il rootkit vengono distribuiti utilizzando comandi shell che scaricano un programma di installazione e un pacchetto binario personalizzato da un server remoto. L’installer prende il pacchetto binario come argomento e poi estrae il rootkit e un modulo di impianto server attualmente in fase di sviluppo.
Le funzionalità di Mélofée non sono diverse da altre backdoor simili, consentendo al malware di contattare un server remoto e ricevere istruzioni che gli permettono di eseguire operazioni sui file, creare socket, avviare una shell ed eseguire comandi arbitrari.
Collegamenti del malware alla Cina
I collegamenti del malware alla Cina derivano da sovrapposizioni infrastrutturali con gruppi come APT41 (noto anche come Winnti) e Earth Berberoka (noto anche come GamblingPuppet). Earth Berberoka è il nome dato a un attore sponsorizzato dallo stato che mira principalmente a siti web di gioco d’azzardo in Cina dal 2020, utilizzando malware multi-piattaforma come HelloBot e Pupy RAT. Secondo Trend Micro, alcuni campioni del Pupy RAT basato su Python sono stati nascosti utilizzando il rootkit Reptile.
Un’altra minaccia per la sicurezza informatica
ExaTrack ha inoltre scoperto un altro impianto chiamato AlienReverse, che condivide similitudini nel codice con Mélofée e utilizza strumenti pubblicamente disponibili come EarthWorm e socks_proxy. “La famiglia di impianti Mélofée è un altro strumento nell’arsenale degli attaccanti sponsorizzati dallo stato cinese, che mostra costante innovazione e sviluppo”, ha dichiarato la società. “Le capacità offerte da Mélofée sono relativamente semplici, ma possono consentire agli avversari di condurre i loro attacchi sotto il radar. Questi impianti non sono stati ampiamente osservati, il che indica che gli aggressori stanno probabilmente limitando il loro utilizzo a obiettivi di alto valore”.
