“Condi” propagado mediante dispositivos TP-Link

El equipo de investigación de FortiGuard ha descubierto recientemente, muestras de un Botnet de DDoS-as-a-service denominado “Condi” el cual utiliza una vulnerabilidad en routers Archer AX21 de TP-Link. La vulnerabilidad es cuestión ha sido rastreada como CVE-2023-1389 y fue revelada a mediados de marzo del 2023.

La vulnerabilidad rastreada como CVE-2023-1389 es una vulnerabilidad en los dispositivos Archer AX21 de TP-Link antes de la versión 1.1.4 de inyección de comandos, que permite a un atacante no autenticado desencadenar la emisión para inyectar comandos, que se podría ejecutar como root, enviando una simple solicitud POST. Con una puntuación CVSSv3 8.8, lo que refleja la criticidad de esta vulnerabilidad.

Según las observaciones, el botnet Condi se ofrece mediante un canal de Telegram, bajo el nombre de Condi Network, donde se promociona el botnet, a su vez que se hace una descripción de las capacidades de este. Entre estas capacidades, se puede mencionar la capacidad de mantenerse vivo tras un reinicio, su función anti debug, cifrar procesos, entre otros.

Este canal de Telegram comenzó en mayo de 2022, mediante el cual el actor malicioso ha monetizado el botnet mediante ofreciéndolo como servicio de DDoS-as-a-service y la venta del código fuente del malware.

Como se hizo mención previamente, el malware posee varias cualidades, como técnicas para mantenerse en ejecución en los sistemas infectados, al mismo tiempo que evita la infección por otros botnets mediante la terminación de los procesos de estos.

Es algo típico de los botnets basados en Mirai, el no sobrevivir a un reinicio del sistema, por lo que este botnet posee la cualidad de eliminar los binarios utilizados para apagar o reiniciar el sistema. Como lo son:

• /usr/sbin/reboot
• /usr/bin/reboot
• /usr/sbin/shutdown
• /usr/bin/shutdown
• /usr/sbin/poweroff
• /usr/bin/poweroff
• /usr/sbin/halt
• /usr/bin/halt

A su vez también se pudo observar que el desarrollador de esta variante de Condi busca eliminar cualquier otra versión de Condi ejecutándose en el sistema. Así como matar cualquier otro proceso que asociado a otros botnets:

Propagación

A diferencia de otros tipos de botnes, este se propaga mediante la incrustación de un escáner simple, que resulta ser una modificación del escáner Telnet original de Mirai, utilizado para el escaneo de IPs públicas que tengan abierto los puertos 80 o 8080, para posterior enviar una solicitud codificada de explotación, para la descarga y ejecución de un script de Shell remoto, el cual infecta el dispositivo con Condi, si este es un dispositivo Archer AX21 vulnerable. como se muestra a continuación.

Si bien la muestra observada era especifica para CVE-2023-1389, se tiene registro de otras muestras de Condi explotando otras vulnerabilidades, para su propagación. Como es el caso de una versión antigua de Condi que realiza escaneos en dispositivos con un puerto abierto de Android Debug Bridge (TCP/5555), lo que indicaría que el botnet se encuentra siendo propagado por este medio.

Conexión C2

Se pudo observar que el protocolo binario utilizado por Condi para comunicarse con el servidor de comando y control es una versión modificada que fuera implementado inicialmente en Mirai. Una vez establecida la conexión, el servidor envía comandos que permiten:

• Revisar si el malware se encuentra activo, si este sí se encuentra activo, envía un paquete al servidor C2.
• Termina el bot.
• Inicia el servidor para entregar binarios de malware.
• Actualiza los binarios entregados por el servidor web.
• Envía el puerto del servidor web. El malware responde con x66x99x66 seguido de una longitud de la siguiente cadena y “CondiiNeett webserv:<PORT>”.
• Establece una bandera de bloqueo no utilizada, que podría indicar una característica en desarrollo.

Este tipo de malware es un recordatorio más de que las campañas de malware siempre están en una búsqueda activa para su propagación y una de las maneras más factibles es mediante la explotación de nuevas vulnerabilidades, como es el caso con Condi, por lo que una de las medidas imprescindibles contra esto es una apropiada actualización de los sistemas cada vez que el proveedor lo reporte.

Indicadores de Compromiso