La esencia técnica de Shellshock es sorprendentemente simple, y eso es lo que la hace tan aterradora. La vulnerabilidad radica en cómo Bash procesa las definiciones de funciones almacenadas en variables de entorno. Un atacante puede crear una variable de entorno especial que comienza con una definición de función () { :; }; pero agrega un comando malicioso justo después.

Por ejemplo: () { :; }; /bin/cat /etc/passwd

Cuando una versión vulnerable de Bash importa esta función desde la variable de entorno, ejecuta el código que sigue a la definición de la función. Esto ocurre porque Bash no dejaba de analizar correctamente después de que terminaba la definición de la función. El ataque puede entregarse a través de cualquier servicio que use Bash para procesar solicitudes y permita que un atacante configure variables de entorno, como un servidor web Apache que ejecuta scripts CGI.

Tácticas, técnicas y procedimientos (TTPs)

Los atacantes se aprovecharon al máximo de Shellshock. El TTP más común consiste en apuntar a servidores web que ejecutan scripts CGI. Al enviar una solicitud HTTP especialmente diseñada (por ejemplo, modificando la cadena User-Agent u otros encabezados), un atacante puede inyectar la variable de entorno maliciosa y activar la ejecución de comandos en el servidor.

Una vez explotada la vulnerabilidad, los atacantes suelen:

• Establecer un reverse shell para obtener control interactivo.

• Descargar y ejecutar malware, como bots de DDoS o mineros de criptomonedas.

• Escanear la red interna en busca de otros sistemas vulnerables para moverse lateralmente.

Indicadores de compromiso

Detectar un ataque de Shellshock requiere buscar algunas señales reveladoras. Los IoC clave incluyen:

• Patrones inusuales en los registros del servidor web (por ejemplo, () { :; }; en encabezados HTTP).

• Conexiones salientes sospechosas desde servidores web hacia direcciones IP desconocidas.

• Procesos inesperados que se ejecutan bajo la cuenta de usuario del servidor web (por ejemplo, www-data, apache).

• Modificación de archivos o presencia de nuevos scripts ejecutables en directorios accesibles desde la web.

Pruebas de concepto y exploits conocidos

A los pocos minutos de su divulgación pública, las pruebas de concepto de Shellshock estaban por todas partes. Metasploit agregó rápidamente un módulo de exploit, y los investigadores de seguridad publicaron pruebas sencillas de una línea para verificar la vulnerabilidad. Los actores de amenazas no perdieron tiempo en convertir estas pruebas de concepto en armas, lo que generó ataques automatizados generalizados dirigidos a todo, desde sitios web personales hasta servidores empresariales e incluso dispositivos IoT.