Los hackers usan scripts generados por IA para secuestrar comandos Sudo de Linux y robar contraseñas

Según una nueva investigación, una campaña contra las organizaciones gubernamentales y la infraestructura vinculada al estado utilizó scripts asistidos por IA para robar credenciales, mantener el acceso a los servidores Linux y buscar datos confidenciales. Los atacantes alteraron los archivos de inicio del shell de los usuarios para interceptar el comando sudo, luego copiaron las contraseñas introducidas en un archivo y las pasaron al comando real.

La investigación de la Unidad 42 dice que la actividad también involucró shell web, malware personalizado, búsquedas en buzones e intentos de borrar pruebas. En lugar de explotar una falla en sudo, los atacantes plantaron un alias malicioso en.bashrc, un archivo que ejecuta comandos cuando un usuario inicia un shell Bash. Los administradores pueden encontrar útil este contexto anterior de vulnerabilidad de sudo de Linux, pero la Unidad 42 describió la interceptación de credenciales a través de una configuración de shell cambiada, no esa vulnerabilidad. Fragmentos de código que contienen comentarios, que indican el uso de IA (Fuente – Unidad42) La Unidad 42 también observó comandos y scripts codificados en Base64 que se movían entre PHP, JavaScript, Bash y Python.

El malware puede ejecutarse en Linux y Windows, comunicarse con un servidor de comando y control a través de WebSocket y admitir comandos remotos, acceso al shell, manejo de archivos y persistencia. Actividad de shell web interactiva, como se muestra en Cortex XDR (Fuente – Unidad42) También plantaron marcadores tipo equipo rojo, incluidos RedTeamOps2025 y pentest123, para hacer que la actividad parezca autorizada.

Consultar publicación original ↗