Se ha descubierto una red de proxy criminal que infecta miles de dispositivos del Internet de las Cosas (IoT) y dispositivos al final de su vida útil (EoL), convirtiéndolos en parte de una botnet que proporciona anonimato a usuarios maliciosos en línea.
La red, rastreada durante el último año por Black Lotus Labs de Lumen en colaboración con el Departamento de Justicia de EE. UU., el FBI y la Policía Nacional de los Países Bajos, explota dispositivos residenciales obsoletos para crear una red de proxies.
La infraestructura se encuentra principalmente en Turquía y consta de cinco servidores, uno de los cuales parece recopilar datos de forma silenciosa mediante UDP.
Cómo funciona la red proxy
La botnet ataca dispositivos IoT y SOHO sin protección, muchos de los cuales ya no cuentan con actualizaciones de seguridad. La telemetría de Lumen mostró un promedio de 1000 proxies activos cada semana en más de 80 países, con la mayor concentración de víctimas en EE. UU., seguido de Ecuador y Canadá.
Los dispositivos infectados por este malware pasan a formar parte de un servicio de alquiler de proxy. Los usuarios pueden adquirir acceso temporal a estos dispositivos, lo que les permite dirigir el tráfico a través de ellos de forma anónima.
Crónicamente, no se requiere autenticación, lo que significa que el acceso abierto está disponible para cualquiera que localice la IP y el puerto correctos. Las actividades maliciosas que este sistema soporta incluyen:
Fraude publicitario
Ataques DDoS
Relleno de credenciales por fuerza bruta
Explotación de datos
Los dispositivos infectados permiten a los ciberdelincuentes integrarse en el tráfico residencial legítimo. Solo alrededor del 10 % de estos proxies son marcados como maliciosos por herramientas como VirusTotal.
Más información sobre la seguridad de dispositivos IoT al final de su vida útil: Cisco advierte sobre una vulnerabilidad crítica en enrutadores al final de su vida útil
Aunque los operadores afirman tener más de 7000 proxies activos diariamente, Lumen estima que la cifra es exagerada. No obstante, la estabilidad y la presencia global del servicio siguen planteando desafíos para los defensores.
Interrupción de la seguridad pública
Lumen y sus socios de las fuerzas del orden han logrado interrumpir la infraestructura de comando y control conocida de la red mediante el enrutamiento nulo del tráfico a través de la red troncal de Lumen. Aun así, el gran volumen de dispositivos vulnerables garantiza que este tipo de amenazas persistirán.
«El anonimato es la clave del éxito para los delincuentes de todo tipo», señalaron los investigadores. Este grupo mantuvo un perfil bajo para evitar ser detectado, pero […] abusa de equipos que han superado el ciclo de vida de soporte del proveedor y no pueden parchearse ni protegerse.
Para ayudar a prevenir abusos similares, los profesionales de seguridad recomiendan:
Monitorear intentos de inicio de sesión anormales desde IP residenciales
Bloquear direcciones proxy abiertas conocidas
Reemplazar dispositivos al final de su vida útil y garantizar que los enrutadores estén correctamente actualizados y protegidos
Black Lotus Labs afirmó que continuará compartiendo información con socios globales y solicitó un monitoreo proactivo de los indicadores de vulnerabilidad relacionados con redes similares.