Un ataque de minería de criptomonedas dirigido al sistema operativo Linux también implicó el uso de un troyano de acceso remoto (RAT) de código abierto apodado CHAOS.
La amenaza, que fue detectada por Trend Micro en noviembre de 2022, se mantiene prácticamente sin cambios en todos los demás aspectos, incluso a la hora de acabar con el malware de la competencia, el software de seguridad y desplegar el minero de criptomoneda Monero (XMR).
«El malware consigue su persistencia alterando el archivo /etc/crontab, un programador de tareas UNIX que, en este caso, se descarga a sí mismo cada 10 minutos desde Pastebin», explican los investigadores David Fiser y Alfredo Oliveira.
A este paso le sigue la descarga de las cargas útiles de la siguiente fase, que consisten en el minero XMRig y la RAT CHAOS basada en Go.
Según la empresa de ciberseguridad, el script de descarga principal y las demás cargas útiles se alojan en varias ubicaciones para garantizar que la campaña permanezca activa y se sigan produciendo nuevas infecciones.
La CHAOS RAT, una vez descargada y lanzada, transmite metadatos detallados del sistema a un servidor remoto, al tiempo que incorpora capacidades para realizar operaciones con archivos, tomar capturas de pantalla, apagar y reiniciar el ordenador y abrir URL arbitrarias.