Un marco de intrusión recientemente rastreado llamado VoidLink está llamando la atención por su diseño modular y su enfoque en sistemas Linux. Se comporta como un marco de gestión de implantes, permitiendo a los operadores desplegar un implante central y añadir capacidades según sea necesario, lo que acorta el tiempo desde el acceso hasta la acción. Actividades recientes han sido vinculadas a un actor de amenazas.

Un marco de intrusión recientemente rastreado llamado VoidLink está llamando la atención por su diseño modular y su enfoque en sistemas Linux.

Se comporta como un marco de gestión de implantes, permitiendo a los operadores desplegar un implante central y añadir capacidades según sea necesario, lo que acorta el tiempo desde el acceso hasta la acción.

La actividad reciente ha sido vinculada a un actor de amenazas al que Cisco se refiere como UAT-9921, cuyas operaciones podrían remontarse a 2019, aunque VoidLink apareció más tarde.

En casos reportados, el actor accede a servidores con credenciales previamente obtenidas o explotando fallos de serialización de Java para ejecutar código, incluyendo problemas relacionados con el proyecto Apache Dubbo; Talos también detectó indicios de documentos maliciosos, pero sin muestras.

Tras investigar estas campañas, los investigadores de Cisco Talos señalaron que los hosts comprometidos también se utilizaron para realizar escaneos tanto dentro como fuera de la red de la víctima, lo que sugiere un esfuerzo por encontrar rápidamente sistemas adicionales para infiltrarse.

También observaron un patrón post-compromiso en el que se configura un servidor SOCKS en los servidores vulnerados y se usa junto con la herramienta FSCAN para reconocimiento interno.

Las víctimas han incluido organizaciones tecnológicas y algunas del sector financiero, pero el amplio escaneo de rangos completos de Clase C apunta a una selección oportunista en lugar de una elección cuidadosa.

La línea de tiempo de Talos sitúa múltiples víctimas relacionadas con VoidLink desde septiembre hasta enero de 2026.

Plugins compilados bajo demanda

La característica más preocupante de VoidLink es su enfoque de compilación bajo demanda para plugins, que puede generar módulos personalizados para diferentes distribuciones Linux según la solicitud.

Talos describió el marco como una prueba de concepto casi lista para producción, con registros de auditoría y control de acceso basado en roles, incluyendo "SuperAdmin", "Operator" y "Viewer", funciones que pueden facilitar la supervisión mientras permiten operaciones rápidas.

El implante está escrito en Zig, los plugins en C y el backend en Go, y el lado de Linux puede incluir opciones avanzadas como comportamiento de rootkit mediante eBPF o módulos de kernel cargables, escalada de privilegios en contenedores y escape de sandbox.

Talos también reportó comprobaciones conscientes de la nube para Kubernetes o Docker, además de medidas de sigilo como la detección de herramientas de seguridad en endpoints y ajustes de evasión, junto con métodos de ofuscación y anti-análisis.

También soporta enrutamiento interno peer-to-peer en malla. Talos encontró indicios de que el implante principal ha sido compilado para Windows y podría cargar plugins mediante DLL sideloading, aunque no se recuperó ninguna muestra para confirmarlo.

Los defensores deberían reducir el acceso inicial rotando credenciales expuestas y parcheando servicios Java, luego monitorizar la aparición de nuevos servicios SOCKS, escaneos inusuales y conexiones salientes sospechosas desde servidores.

Talos también publicó detecciones, incluyendo los SIDs de Snort 65915–65922 y 65834–65842, y la firma de ClamAV Unix.Trojan.VoidLink-10059283.