Kobalos, un malware che minaccia tutto il mondo

I supercomputer di tutto il mondo sembrano essere minacciati dalla presenza di un piccolissimo malware ma potente con la capacità di devastare i sistemi che ospitano queste strutture.

Questo è Kobalos, una variante sofisticata del malware che ha un lavoro di reverse engineering di ESET.

Finora, il malware è stato monitorato, con attacchi contro supercomputer corrispondenti a un grande provider di servizi Internet (ISP) con sede in Asia, nonché un provider di sicurezza degli endpoint statunitense, tra altri server privati selezionati presi di mira da Kobalos.

Kobalos un malware che minaccia tutto il mondo

Per quanto riguarda l’origine del nome del malware, il team di sicurezza informatica ha indicato che deriva da una piccola creatura corrispondente alla mitologia greca che era nota per aver compiuto danni.

I “guai” commessi da questo malware non devono essere prese alla leggera, poiché il suo codice di base, nonostante non sia esteso, è abbastanza sofisticato da causare danni a sistemi operativi come Linux, Solaris e BSD. Inoltre, ESET ritiene probabile che gli attacchi Kobalos interesseranno anche le macchine Microsoft Windows e AIX.

A questo proposito, il ricercatore di cybersecurity Marc-Etienne Léveillém ha confermato “Va detto che questo livello di sofisticazione si vede solo raramente nel malware Linux“

Ed è che, durante un lavoro svolto insieme al team di sicurezza informatica del CERN, ESET ha scoperto che Kobalos stava prendendo di mira cluster di computer ad alte prestazioni (HPC).

Altri casi di infezioni studiati dal team hanno rivelato che il malware principale sembra dirottare le connessioni del server SSH per ottenere le credenziali con cui può accedere ai cluster HPC dove può poi rilasciare Kobalos.

Questo rende Kobalos fondamentalmente una sorta di backdoor. Così, dopo essere penetrato nel supercomputer, il codice contenuto nel malware procede ad incorporarsi nel file eseguibile del server OpenSSH per poi attivare Kobalos a seguito di una chiamata effettuata tramite una specifica porta TCP sorgente.