Ha surgido un nuevo marco de malware centrado en la nube llamado VoidLink, que ataca sistemas Linux con técnicas avanzadas de evasión y capacidades de autodestrucción.

Escrito en el lenguaje de programación Zig, este malware representa un cambio importante en cómo los actores de amenazas abordan los ataques a infraestructuras en la nube.

VoidLink destaca por su capacidad para reconocer entornos en la nube importantes como AWS, GCP, Azure, Alibaba y Tencent, y luego personalizar su comportamiento para adaptarse a cada plataforma.

El marco puede detectar cuándo se ejecuta dentro de contenedores de Kubernetes o Docker y ajusta sus tácticas en consecuencia.

Investigadores de Check Point identificaron este malware Linux previamente desconocido en diciembre de 2025 tras descubrir varias muestras que contenían símbolos de depuración y artefactos de desarrollo.

Las muestras parecían provenir de un entorno de desarrollo de habla china, lo que sugiere que el marco aún estaba en desarrollo activo en lugar de ser un producto terminado.

El malware apunta a ingenieros de software y administradores que gestionan infraestructuras en la nube, lo que podría abrir puertas al espionaje o a ataques a la cadena de suministro.

El marco incluye más de 37 plugins organizados en categorías como reconocimiento, recolección de credenciales, movimiento lateral y persistencia.

Estos plugins funcionan como archivos objeto que se cargan en tiempo de ejecución y se ejecutan directamente en memoria, de manera similar a cómo operan los Beacon Object Files de Cobalt Strike.

VoidLink recolecta credenciales de entornos en la nube y sistemas de control de versiones como Git, lo que otorga a los atacantes acceso a recursos de desarrollo sensibles y secretos de infraestructura en la nube.

Mecanismos de sigilo adaptativo y autodestrucción

VoidLink utiliza el sigilo adaptativo como su mecanismo de defensa principal. Al iniciarse, el malware escanea productos de seguridad instalados y tecnologías de endurecimiento del kernel, incluyendo sistemas de detección y respuesta en endpoints para Linux.

Luego calcula una puntuación de riesgo para el entorno y selecciona la mejor estrategia de evasión. En entornos de alto riesgo con monitoreo activo, VoidLink ralentiza sus operaciones y ejecuta tareas con mayor cuidado para evitar ser detectado.

El marco despliega diferentes tipos de rootkits según la versión del kernel que detecte.

Para kernels por debajo de la versión 4.0, utiliza técnicas LD_PRELOAD. Para kernels versión 5.5 y superiores con soporte para eBPF, despliega rootkits basados en eBPF.

Para kernels versión 4.0 y superiores, instala módulos de kernel cargables. Estos rootkits ocultan procesos, archivos, sockets de red e incluso los propios módulos del rootkit de administradores de sistemas y herramientas de seguridad.

VoidLink incluye código auto-modificable que descifra regiones protegidas en tiempo de ejecución y las cifra cuando no están en uso.

Esta técnica ayuda al malware a evadir escáneres de memoria que buscan patrones de código sospechosos. El marco realiza constantemente comprobaciones de integridad en tiempo de ejecución para detectar hooks y parches que las herramientas de seguridad podrían introducir.

Si VoidLink detecta cualquier intento de manipulación o depuración, activa inmediatamente su mecanismo de autodestrucción, eliminando todos los rastros del sistema infectado e impidiendo el análisis forense.