SANS ha analizzato un RedTail Linux payload catturato in un honeypot DShield/Cowrie con varianti per ARM, ARM64, i686, RISC-V e x86-64. Il dato che conta non è la sola presenza del malware, ma il fatto che il pacchetto fosse già preparato per scegliere il binario giusto in base alla CPU trovata.
Il deployment script controlla l’architettura dell’host e lancia l’eseguibile corrispondente. Nella variante x86-64, l’analisi dinamica ha mostrato anche cambio dell’identità del processo, terminazione di altri processi e avvio di una socket in ascolto. Il quadro è quello di un pacchetto pensato per adattarsi a flotte Linux miste, non di un campione legato a un solo tipo di macchina.
Per chi osserva malware Linux, il punto è che un singolo artefatto può nascondere una capacità di diffusione più ampia di quanto dica una sola variante analizzata. Il rischio è di sottostimare la portata operativa del pacchetto se si guarda solo a un’architettura o solo alla triage statica.