Novo malware denominado Shikitega [CTIR]

1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) recebeu informações sobre a disseminação de um novo malware denominado Shikitega.

2. O malware é direcionado a endpoints e dispositivos IoT que executam sistemas operacionais Linux. O Shikitega é entregue em uma cadeia de infecção de vários estágios, onde cada módulo responde a uma parte da carga útil que baixa e executa a próxima etapa, evitando assim, sua detecção. O Shikitega utiliza servidores de comando e controle (C2) hospedados em serviços de nuvem legítimos e explora duas vulnerabilidades Linux de elevação de privilégios conhecidas:
CVE-2021-4034 – https://nvd.nist.gov/vuln/detail/cve-2021-4034; e
CVE-2021-3493 – https://nvd.nist.gov/vuln/detail/CVE-2021-3493.

3. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições, que identifiquem softwares ou firmwares vulneráveis sob sua responsabilidade e apliquem com urgência as devidas atualizações. Caso suspeitem que algum dispositivo esteja infectado, sugerimos realizar uma verificação, usando um aplicativo anti-malware atualizado. Para os casos de suspeita de infecção em um dispositivo IoT, o firmware necessita ser extraído primeiro, antes que uma verificação com anti-malware seja executada no conteúdo do sistema de arquivos extraído.

4. Possíveis indicadores de comprometimento (IOCs) associados ao Shikitega podem ser encontrados nos seguintes links:
https://www.csa.gov.sg/en/singcert/Alerts/al-2022-048
https://cybersecurity.att.com/blogs/labs-research/shikitega-new-stealthy-malware-targeting-linux

5. O CTIR Gov recomenda as seguintes ações adicionais:

• Manter os softwares e firmwares atualizados;
• Utilizar Antivírus e/ou Endpoint Detection Response (EDR) em todos os endpoints; e
• Implementar rotinas de backup de arquivos.