Nuevo botnet P2P para atacar dispositivos IoT
Se ha identificado una nueva botnet basada en P2P capaz de secuestrar dispositivos inteligentes conectados a Internet (IoT) para realizar tareas no autorizadas, tales como ataques DDoS y minería ilícita de criptomonedas.
El equipo de seguridad de Netlab de Qihoo 360 ha identificado la nueva botnet a la que ha denominado como HEH, escrita en lenguaje Go (Go 1.15.1) y armada con un protocolo peer-to-peer (P2P), que se propaga mediante un ataque de fuerza bruta del servicio Telnet en los puertos 23/2323 y es capaz de ejecutar comandos de shell arbitrarios. Las muestras descubiertas son capaces de funcionar en una amplia variedad de arquitecturas de CPU, incluidas x86 (32/64), ARM (32/64), MIPS (MIPS32 / MIPS-III) y PowerPC (PPC).
Aunque se estima que la botnet se halla en sus primeras etapas de desarrollo, se han identificado tres módulos funcionales: un módulo de propagación, un módulo de servicio HTTP local y un módulo P2P.
La botnet HEH se inicia mediante el script para shell wpqnbw.txt. A continuación, se descarga y ejecuta todos los módulos para las distintas arquitecturas de CPU de forma secuencial, sin ningún tipo de comprobación previa, desde el sitio web «pomf.cat», al mismo tiempo que finaliza una serie de servicios según el número de puerto.
La segunda fase de la infección comienza iniciando un servidor HTTP en el puerto local que muestra la Declaración Universal de Derechos Humanos en ocho idiomas diferentes, y luego, inicia el módulo P2P para realizar el seguimiento de los pares infectados, permitiendo al atacante ejecutar comandos de shell arbitrarios, incluida la capacidad de borrar todos los datos del dispositivo comprometido. Una vez iniciado el módulo P2P, se lanzará un ataque de fuerza bruta mediante un diccionario de contraseñas contra el servicio Telnet para los dos puertos 23 y 2323 de manera paralela para realizar la propagación.
Otros comandos posibles identificados por el equipo de seguridad incluyen: el reinicio de un bot, la actualización de la lista de pares o la detención del bot en ejecución. No obstante, aún no se ha detectado la implementación de ningún comando de ataque propiamente dicho.
Más información:
Powered by WPeMatico
