A los creadores de Duqu les gusta Linux

Las investigaciones en torno a Duqu se suceden. Ahora es la empresa de seguridad Kaspersky quien acaba de descubrir que poco después de que Symantec desvelara la existencia de Duqu el pasado mes de octubre, las personas que están detrás de este malware eliminaron los indicios de su actividad de todos servidores de comando y control para eliminar pistas.

Pero a pesar de esa limpieza, los investigadores de Kaspersky han podido recoger alguna información. Vitaly Kmaluk, director de malware de la empresa rusa, asegura que además de los servidores de comando y control (C&C) de India y Bélgica, cerrados por las autoridades, Duqu se ha comunicado con otros servidores situados en Vietnam y Holanda. También se utilizaron otros servidores como proxies, de forma que la localización saltara de un país a otro y fuera complicado detectarles.

Muy poco después de que Duqu saliera a la luz pública, los responsables del malware limpiaron los servidores que habían estado utilizando en los últimos tres años en Alemania, India, Reino Unido, Singapur o Suiza. Todo esto  ha hecho que los que están detrás de Duqu y Stuxnet sigan siendo anónimos ya que, como dice Kmaluk, “han cubierto su rastro de forma muy efectiva”.

Lo interesante es que la mayoría de los servidores que fueron sido hackeados para que formaran parte de la infraestructura de Duqu estaban funcionando en Linux, concretamente con CentOS 5.2, 5.4 o 5.5, una versión similar a Red Hat Enterprise Linux. Las máquinas comprometidas eran tanto de 32-bit como de 64-bit y según Kmaluk no está claro si simplemente es una coincidencia o los atacantes prefieran esta distribución de Linux.

Algunos investigadores han estado estudiando cuidadosamente cómo fueron comprometidos los servidores, sugiriendo que podría haberse aprovechado una vulnerabilidad Día Cero en el software de cliente utilizado para acceder a los servidores. En todo caso no será la primera vulnerabilidad de este tipo que utiliza Duqu, que ya ha explotado una en el kernel de Windows.