Novo malware Voidlink possui mais de 30 módulos e ataca nuvens Linux

Descoberta de Framework Malicioso para Linux: VoidLink

Pesquisadores identificaram um novo framework chamado VoidLink, que tem a capacidade de infectar máquinas Linux com uma variedade de módulos para operações avançadas. O sistema possui mais de 30 módulos que podem ser ativados ou desativados conforme as necessidades de cada campanha, oferecendo ferramentas para furtividade, reconhecimento, elevação de privilégios e movimentação lateral em redes comprometidas.

Capacidades Avançadas do VoidLink

Um dos aspectos mais sofisticados do VoidLink é sua habilidade de identificar serviços de nuvem populares. O framework verifica metadados e utiliza APIs para determinar se o alvo está hospedado em plataformas como AWS, GCP, Azure, Alibaba ou Tencent. Há planos para incluir suporte a Huawei, DigitalOcean e Vultr em futuras versões, ampliando seu alcance em infraestruturas que concentram cargas de trabalho corporativas.

Comparação com Outros Frameworks

Embora existam frameworks semelhantes voltados para servidores Windows há anos, opções para o ambiente Linux são raras. A empresa de segurança Checkpoint, responsável pela descoberta, destaca que as funcionalidades do VoidLink são incomuns e muito mais avançadas do que o malware típico para Linux, indicando uma mudança no foco de atores maliciosos para sistemas Linux e infraestruturas de nuvem.

Implicações e Riscos

Os pesquisadores afirmam que o VoidLink é um ecossistema projetado para manter acesso furtivo a sistemas Linux comprometidos, especialmente em nuvens públicas e ambientes conteinerizados. O planejamento e investimento observados sugerem que o framework pode estar associado a grupos profissionais de ciberespionagem, aumentando o risco de intrusões que podem passar despercebidas por longos períodos.

Características Técnicas do VoidLink

O VoidLink apresenta uma interface em chinês, sugerindo uma origem ligada a um ecossistema de desenvolvimento chinês. Até o momento, foram catalogados 37 módulos com funções como detecção de ambientes de nuvem, coleta de informações do sistema, identificação de hipervisores e verificação de execução em containers Docker ou pods Kubernetes. O malware também oferece APIs extensas para desenvolvimento de plugins e mecanismos de evasão.

Além disso, o VoidLink permite o mapeamento de topologias de rede, captura de credenciais e ocultação de comandos de controle como conexões legítimas. Apesar da ausência de indícios de ataques reais, a descoberta do VoidLink ressalta a importância da vigilância em ambientes Linux, que se tornaram alvos relevantes com a migração de cargas para nuvem e plataformas containerizadas.

Fonte por: Convergencia Digital