Antes de que los fans anti-Linux se emocionen, lamento decirles que no se trata de un problema de seguridad atribuible al sistema operativo libre e involucra a sistemas Windows y servidores de DNS dinámicos.

Se trata de un nuevo ejemplo de cómo la seguridad se comporta como una cadena: Es tan fuerte como su eslabón más débil. Esto quiere decir que no importa qué tan fuerte sean todos los elementos de seguridad que usemos, basta un punto débil y ahí se producirán los problemas. Por ejemplo nada puede hacer el mejor de los firewalls si tienes un servicio vulnerable o una password débil, cof cof…

Con el uso de troyanos en Windows, se ha producido un robo masivo de cuentas FTP usadas para administrar el contenido de servidores web en Linux. Con este acceso FTP, los intrusos han modificado algunos sitios web para incluir un iframe hacia otro sitio web. Este iframe contiene una referencia a una URL que apunta a un nombre de host servido por un sistema de DNS dinámico y el servidor final causa que el usuario descargue una variante del troyano Bredolab.gen, con el que se puede repetir el proceso.

Los nombres de hosts utilizados apuntan a un segundo servidor web instalado entre los mismos servidores afectados. Este servidor se instala con la misma cuenta FTP robada, ya que con ésta se puede subir código ejecutable en el servidor y con él descargar, compilar y ejecutar un segundo servidor. Según lo que se ha investigado, el servidor secundario utilizado es nginx y queda corriendo en el puerto 8080, un puerto que no requiere permisos de administrador para ser utilizado.

El sistema es ingenioso, ya que con el uso de DNS dinámicos y con cada servidor involucrado se crea una gran red balanceada y dinámica, lo que dificulta su detección y bloqueo. Por ahora, los proveedores de DNS dinámico han bloqueado los dominios usados en esta botnet.

El hecho de distribuir troyanos para Windows, que posteriormente se usan para controlar tales computadores, hace que el problema sea difícil de detener incluso teniendo el apoyo de los servicios de DNS dinámicos. Para empeorar la situación, estos mismos troyanos en Windows son usados para seguir robando cuentas FTP legítimas.

Se detectó una botnet de servidores Linux

Por: Lisandro Pardo @ martes, 15 de septiembre de 2009 Nota vista 2315 veces

¿Cómo? Eso suena más a plataformas Windows, en eso todos estamos de acuerdo, pero recientes informes de varios sitios diferentes han revelado la existencia de unabotnet que ha tomado bajo su control a aproximadamente cien servidores Linux de diferentes distros. La botnet estaría infectando a sistemas Windows, entregando contenido a través de un servidor web que utiliza el puerto 8080. Muchos se han apresurado a decir que Linux al final no es tan seguro como sus usuarios dicen, pero lo cierto es que sólo una cosa puede haber provocado que cien servidores terminen infectados, y es un mal administrador de sistema. Si siempre se preguntaron por qué las distros insisten en no usar la cuenta root para tareas mundanas, esta es una de las razones.

La situación es muy poco clara, pero trataremos de pasarla en limpio lo mejor posible. Aparentemente, un total de cien servidores Linux ejecutando Apache y conteniendo páginas web legales fueron penetrados de forma tal que fueron infectados con un segundo servidor conocido como ngnix, y comenzaron a distribuir malware a través del puerto 8080. La gran pregunta que mantiene en velo a los expertos es cómo fue que estos servidores terminaron siendo infectados desde el principio. De acuerdo a la robustez de las plataformas Linux y de su inmunidad ante la gran mayoría de los virus existentes, todos están aplicando un poco de la Navaja de Occam aquí, llegando a la conclusión más sencilla: La culpa fue de los administradores de sistema.

Todavía no se sabe con exactitud si esto fue llevado a cabo para probar que es posible llevarlo a término, o si realmente es un malware que persigue un fin comercial, pero si realmente este nodo de servidores esclavizados se encuentra diseminando malware, entonces se deberían esperar reacciones que estén en sintonía con la infección. Una de las teorías menciona que los asaltantes lograron tener acceso debido a que algún administrador despistado habilitó el acceso abierto al FTP para el usuario root. Los hackers sólo tuvieron que obtener la contraseña del root a través del FTP, y el resto es más o menos historia conocida.

El malware utiliza sistemas como MailScanner has detected a possible fraud attempt from "www.neoteo.com" claiming to be DynDNS.com y No-IP.com, dos sitios que ya han respondido de forma adecuada para contrarrestar los efectos de la botnet. Pero todos concuerdan con que no se debe tomar como una emergencia ni nada parecido. La botnet apenas cuenta con cien ordenadores, muy pequeña en comparación con otras botnets, por eso es tan fuerte la teoría de algún experimento hecho por un hacker. Sin embargo, esto nos recuerda el grado de responsabilidad que debemos tener con nuestros sistemas operativos, ya sean Windows, Mac OS o alguna distro de Linux. Contraseñas fuertes y no almacenadas ayudan mucho, al igual que utilizar el perfil de usuario correspondiente, en vez de estar jugando con la cuenta root.

Descubierto el primer Botnet de servidores web Linux

Un investigador ruso descubrió un clúster de servidores Linux infectados y convertidos en un botnet para distribuir malware a navegantes desprevenidos usando Windows. Se trataría del primer botnet de servidores web conectados con un centro de control común para distribuir software malicioso que, en adición, estaría conectado a otro botnet de computadoras personales.

Cada uno de los servidores infectados, dedicados o virtuales, ejecuta un servidor web Apache legítimo en el puerto 80, pero además también otro servidor nginx furtivo en el puerto 8080 que distribuye el malware con ayuda de proveedores de servicios de DNS dinámicos como DynDNS y No-IP.

Con sólo 100 nodos el botnet es relativamente pequeño, por lo que todavía no está claro cuáles son las intentenciones reales de sus creadores. Denis Sinegubko, quien realizó el descubrimiento, se aventura a conjeturar que:

“Probablemente es algún tipo de prueba de concepto para los hackers. O tal vez tienen muchos más servidores comprometidos esperando por su turno”.

Artículo completo en The Register via Slashdot.

Botnet en base a web servers corriendo sobre Linux

Se detectó una botnet de servidores Linux

Descubierto el primer Botnet de servidores web Linux