Pesquisadores identificaram um novo malware furtivo para Linux chamado sedexp

Pesquisadores identificaram um novo malware furtivo para Linux chamado sedexp. Esse novo malware usa regras udev do Linux para obter persistência e evitar detecção.

Sedexp: um novo malware furtivo para Linux

A Cyber Solutions da Aon identificou uma nova família de malware, chamada sedexp, que depende de uma técnica de persistência menos conhecida do Linux.

Esse malware está ativo desde pelo menos 2022, mas permaneceu amplamente indetectável por anos. Os especialistas apontaram que o método de persistência empregado por esse malware não é documentado atualmente pelo MITRE ATT&CK. A técnica permite que o malware mantenha persistência em sistemas infectados e oculte códigos de skimmer de cartão de crédito.

O Sedexp usa regras udev para manter a persistência. O Udev é um componente do sistema que gerencia eventos de dispositivos em sistemas Linux, permitindo que ele identifique dispositivos com base em suas propriedades e configure regras para disparar ações quando os dispositivos são conectados ou removidos. Esse uso inovador das regras udev faz o sedexp se destacar como um mecanismo de persistência.

Durante uma investigação recente, Stroz Friedberg descobriu malware usando regras udev para manter a persistência. Essa técnica permite que o malware seja executado toda vez que um evento específico do dispositivo ocorre, tornando-o furtivo e difícil de detectar.

Essa regra garante que o malware seja executado sempre que /dev/random for carregado. /dev/random é um arquivo especial que serve como um gerador de números aleatórios, usado por vários processos e aplicativos do sistema para obter entropia para operações criptográficas, comunicações seguras e outras funções que exigem aleatoriedade. Ele é carregado pelo sistema operacional em cada reinicialização, o que significa que essa regra garantiria efetivamente que o script sedexp fosse executado na reinicialização do sistema.