Investigadores de seguridad han descubierto una nueva botnet basada en Mirai que utiliza vulnerabilidades de día cero para enrutadores industriales y dispositivos domésticos inteligentes para propagarse.
La botnet, cuyo nombre ofensivo es “gayfemboy”, fue descubierta por primera vez por el equipo de investigación chino Qi’anxin XLab en febrero de 2024. Sin embargo, si bien sus primeras iteraciones eran versiones poco destacables de Mirai, sus desarrolladores han intensificado sus esfuerzos desde entonces, incorporando la explotación de vulnerabilidades de día cero y día n para ayudarla a expandirse.
Entre ellas se encuentran un error de día cero en los enrutadores industriales Four-Faith (CVE-2024-12856) y vulnerabilidades nunca antes vistas en los enrutadores Neterbit y los dispositivos domésticos inteligentes Vimar, a los que aún no se les han asignado CVE.
En general, la botnet utiliza más de 20 vulnerabilidades y contraseñas Telnet débiles para propagarse, según XLab. La empresa afirmó haber observado alrededor de 15.000 IP activas ubicadas principalmente en China, Rusia, Estados Unidos, Irán y Turquía.
La botnet ha estado lanzando ataques DDoS de forma intermitente desde febrero de 2024, con una actividad máxima hasta la fecha en octubre y noviembre del año pasado. Al parecer, cientos de objetivos de varios sectores son atacados todos los días, principalmente en China, Estados Unidos, Alemania, el Reino Unido y Singapur.
De hecho, los pastores de la botnet activaron la herramienta en XLab, después de que registrara algunos nombres de dominios de comando y control (C2) para realizar un análisis más detallado.
“Resolvimos el nombre de dominio registrado en el VPS de nuestro proveedor de la nube. Después de descubrir esto, el propietario comenzó a lanzar ataques DDoS regularmente en nuestro nombre de dominio registrado, con cada ataque durando entre 10 y 30 segundos”, dijo XLab.
“Después de que el proveedor de la nube descubrió que nuestro VPS había sido atacado, inmediatamente bloqueó el tráfico de nuestro VPS durante más de 24 horas, lo que causaba que nuestro VPS no pudiera proporcionar servicios y fuera inaccesible (nuestro VPS fue eliminado por el proveedor de la nube antes de que lo eliminara [la botnet], ya que esta es la política de servicio del proveedor de la nube). Una vez que el servicio VPS se restableció, atacó nuevamente”.
Como los investigadores no tenían algún servicio de mitigación de DDoS que los protegiera, finalmente se vieron obligados a dejar de resolver el nombre de dominio C2.