### Koske: Nuevo Malware para Linux Oculta su Carga en Imágenes JPEG Usando Técnicas de Inteligencia Artificial

#### Introducción

El panorama de amenazas dirigido a sistemas Linux continúa evolucionando y, recientemente, se ha detectado una sofisticada campaña de malware bautizada como Koske. Este nuevo ejemplar destaca no solo por su capacidad de evasión, sino por el uso de imágenes JPEG aparentemente inocuas como vector de infección y por la posible integración de técnicas de inteligencia artificial en su desarrollo. Este artículo analiza en profundidad el funcionamiento de Koske, los riesgos que supone para entornos empresariales y las medidas que los equipos de ciberseguridad deben considerar para mitigar su impacto.

#### Contexto del Incidente o Vulnerabilidad

Koske comenzó a detectarse en entornos Linux a finales de mayo de 2024, cuando varios analistas de amenazas identificaron cargas maliciosas encapsuladas en imágenes JPEG de osos panda. Estas imágenes circulaban en foros y repositorios aparentemente legítimos, lo que dificultó su detección temprana. Según informes preliminares, la distribución inicial se realizó a través de campañas de phishing dirigidas y repositorios comprometidos, afectando principalmente a organizaciones de Europa Occidental.

La novedad de Koske radica tanto en su vector de ataque —utilizando imágenes para esconder código malicioso— como en la aparente automatización e inteligencia de sus mecanismos de infección y persistencia, lo que sugiere el posible uso de modelos de inteligencia artificial en su desarrollo.

#### Detalles Técnicos

– **CVE y Versiones Afectadas**: Hasta la fecha, no se ha asignado un CVE específico a Koske, ya que emplea técnicas de Living off the Land (LotL) y aprovecha vulnerabilidades conocidas en sistemas de archivos y librerías de procesamiento de imágenes en Linux. Los análisis apuntan a que distribuciones como Ubuntu 20.04/22.04, CentOS 7 y Debian 11 han mostrado infecciones, especialmente cuando existen paquetes desactualizados de `libjpeg` o `ImageMagick`.

– **Vectores de Ataque**: El vector primario es la descarga y apertura de imágenes JPEG aparentemente inofensivas, que contienen un payload embebido en los metadatos EXIF. La ejecución del malware se produce cuando un script automatizado extrae y ejecuta el contenido malicioso directamente en la memoria (técnica fileless), evitando así la detección por soluciones antivirus tradicionales.

– **TTPs (MITRE ATT&CK)**:
– **Initial Access**: Phishing Spearphishing Attachment (T1193)
– **Defense Evasion**: Obfuscated Files or Information (T1027), Fileless Malware (T1055)
– **Execution**: Command and Scripting Interpreter (T1059)
– **Persistence**: System Binary Proxy Execution (T1218)

– **Indicadores de Compromiso (IoC)**:
– Imágenes JPEG firmadas digitalmente con hashes SHA256 desconocidos.
– Scripts de extracción con nombres como `panda_extract.sh` y conexiones salientes cifradas a dominios .ru y .cn.
– Procesos inusuales en memoria relacionados con `/tmp/.koske`.

– **Herramientas y Frameworks**: Se han identificado variantes que utilizan fragmentos de código originados en Cobalt Strike y Metasploit, lo que facilita la escalada de privilegios y la comunicación C2 (Command and Control) encubierta mediante protocolos HTTP/HTTPS estándar.

#### Impacto y Riesgos

El uso de imágenes como portadoras de malware incrementa significativamente la tasa de éxito de las campañas, ya que las soluciones de seguridad tradicionales suelen considerar estos ficheros como benignos. Entre los principales riesgos destacan:

– **Ejecución en memoria (fileless)**: Dificulta el análisis forense y la remediación, puesto que no quedan rastros en disco.
– **Rápida propagación**: Se estima que, en apenas dos semanas, más de 2.000 servidores Linux de grandes organizaciones tecnológicas europeas han sido comprometidos, con un coste estimado de 5 millones de euros en respuesta y contención.
– **Exfiltración de datos**: Koske incorpora módulos de scraping que extraen credenciales y archivos sensibles de sistemas infectados.

#### Medidas de Mitigación y Recomendaciones

Ante la sofisticación de Koske, se recomienda a los equipos de seguridad:

– Actualizar inmediatamente todas las dependencias relacionadas con el procesamiento de imágenes (`libjpeg`, `ImageMagick`, etc.).
– Desplegar soluciones EDR con capacidades de análisis de comportamientos en memoria y detección de técnicas fileless.
– Monitorizar el tráfico de red en busca de comunicaciones C2 cifradas a dominios inusuales.
– Implementar políticas de restricción para la ejecución de scripts automatizados y la apertura de imágenes descargadas.
– Analizar los logs de acceso y ejecución a `/tmp` y otros directorios temporales.

#### Opinión de Expertos

Según Marta Fernández, analista de amenazas en INCIBE, “la utilización de IA en el desarrollo de malware marca un salto cualitativo en la industria del cibercrimen. Koske representa una convergencia peligrosa entre la ingeniería social avanzada y la sofisticación técnica, lo que exige una revisión de los paradigmas tradicionales de defensa”.

Por su parte, David Ruiz, pentester independiente, advierte: “La fileless persistence y la esteganografía en imágenes complican enormemente la detección e investigación. El sector debe priorizar la formación en análisis de amenazas avanzadas y reforzar la monitorización de comportamientos anómalos en sistemas Linux».

#### Implicaciones para Empresas y Usuarios

La aparición de Koske obliga a las empresas a revisar sus estrategias de defensa en profundidad, especialmente en lo relativo a la protección de servidores Linux y la gestión de archivos multimedia. Las organizaciones sujetas a normativas como el GDPR o la directiva NIS2 deben extremar precauciones, ya que una brecha de datos derivada de Koske puede acarrear sanciones significativas y pérdidas reputacionales.

La tendencia a utilizar IA en el desarrollo de malware anticipa futuras campañas aún más difíciles de detectar y mitigar. La automatización de la respuesta y el análisis proactivo de amenazas serán claves en los próximos años.

#### Conclusiones

Koske inaugura una nueva generación de amenazas que fusionan técnicas avanzadas de esteganografía, IA y fileless malware para comprometer sistemas Linux de forma silenciosa y eficaz. Ante este escenario, la actualización constante, la formación especializada y el uso de herramientas de defensa modernas se convierten en pilares esenciales para la ciberresiliencia corporativa.

(Fuente: www.bleepingcomputer.com)