2391
ediciones
Diferencia entre revisiones de «SSHDoor»
sin resumen de edición
(Descripcion de SSHDoor) |
Sin resumen de edición |
||
| Línea 55: | Línea 55: | ||
== Origen y Motivación == | == Origen y Motivación == | ||
SSHDoor tiene su origen en actores de amenazas vinculados al ciberespionaje ruso, específicamente atribuido a APT28 (Charming Kitten) según los feeds de inteligencia más recientes . Fue documentado por primera vez por ESET en enero de 2013, en el contexto de una campaña más amplia que también incluía el módulo malicioso para Apache Linux/Chapro.A . La motivación principal de SSHDoor no es económica ni oportunista, sino estratégica y de inteligencia: su diseño está optimizado para mantener acceso silencioso y prolongado a servidores Linux de alto valor, recolectar credenciales de administradores y usuarios privilegiados, y servir como plataforma de acceso persistente para operaciones de espionaje continuado . El uso de nombres de dominio que imitan servicios legítimos (como <code>openssh.info</code> y <code>linuxrepository.org</code>) demuestra una planificación cuidadosa para evitar sospechas de los administradores y prolongar la vida útil de la infección . La evolución de la familia hacia variantes con inyección PAM y rootkits indica que sus operadores siguen invirtiendo en investigación y desarrollo para mejorar la evasión y adaptarse a entornos defensivos más maduros . | SSHDoor tiene su origen en actores de amenazas vinculados al ciberespionaje ruso, específicamente atribuido a APT28 (Charming Kitten) según los feeds de inteligencia más recientes . Fue documentado por primera vez por ESET en enero de 2013, en el contexto de una campaña más amplia que también incluía el módulo malicioso para Apache Linux/Chapro.A . La motivación principal de SSHDoor no es económica ni oportunista, sino estratégica y de inteligencia: su diseño está optimizado para mantener acceso silencioso y prolongado a servidores Linux de alto valor, recolectar credenciales de administradores y usuarios privilegiados, y servir como plataforma de acceso persistente para operaciones de espionaje continuado . El uso de nombres de dominio que imitan servicios legítimos (como <code>openssh.info</code> y <code>linuxrepository.org</code>) demuestra una planificación cuidadosa para evitar sospechas de los administradores y prolongar la vida útil de la infección . La evolución de la familia hacia variantes con inyección PAM y rootkits indica que sus operadores siguen invirtiendo en investigación y desarrollo para mejorar la evasión y adaptarse a entornos defensivos más maduros. | ||
* [[Mitigaciones Backdoor|Relación de acciones para mitigar el riesgo de esta actividad maliciosa.]] | |||
[[Category:Familias de malware|Familias de malware]] | |||