Botnets de denegación de servicios aprovechan fallas en dispositivos de Zyxel

Recientes informes proporcionados por FortiGuard indican una gran propagación de botnets de denegación de servicios, o DDoS, por sus siglas en inglés, las cuales buscan explotar fallas en los dispositivos de Zyxel, dicha falla ha sido rastreada como CVE-2023-28771 la cual es una vulnerabilidad de inyección de código.

Según lo expresa fortiguard, la dirección IP de los atacantes fue identificada mediante la captura de trafico de exploits, mediate estas capturas, es equipo de investigación pudo observar que estos ataques estaban ocurriendo en varias regiones, entre las cuales se pudo observar, Centroamérica, Norteamérica, y algunas regiones de Asia.

Los ataques observados buscan la explotación de la vulnerabilidad rastreada como CVE-2023-28771, la cual hace referencia a una vulnerabilidad de inyección de código el cual afecta múltiples modelos de firewall. Mediante una explotación exitosa, un actor malicioso no autorizado pude ejecutar código arbitrario mediante el envío de un paquete especialmente diseñado a las instancias objetivo.

Las investigaciones demuestran que estas deficiencias se encuentran siendo aprovechadas por una gran cantidad de actores maliciosos, para comprometer hosts susceptibles, y así poder acorralar a estos en una botnet con la capacidad de lanzar ataques de denegación de servicios distribuidos, o DDoS, contra distintos objetivos.

Esto incluye variantes de la botnet de Mirai, como Dark.IoT, y otra red de bots denominada Katana por su autor, con capacidad para realizar ataques DDoS mediante protocolos TCP y UDP.

Según lo menciona Fortinet, la campaña parece utilizar múltiples servidores para lanzar los ataques y actualizarse a si mismo en pocos días, con la finalidad de maximizar el daño a los dispositivos de Zyxel, Entre las botnets identificadas se designan a continuación en el orden en que fueron observadas en el contexto de la investigación:

Botnet 6/7:  esta variante se identificó como Dark.IoT. amplía sus objetivos más allá de los dispositivos IoT. Dark.IoT hace uso de ChaCha20 para cifrar su configuración. Luego de descifrarse exitosamente, establece comunicación al servidor c2. Luego de que la victima recibe el comando de ataque, inicia con el ataque DDoS hacia la dirección IP y número de puerto específico.

Botnet 6/13: Esta botnet es una variante de Mirai, luego de su ejecución, el programa imprime “listening tun0” en la consola, seguidamente, esta variante utiliza la función de descifrado XOR para obtener el servidor C2.

Botnet 6/26: Inicialmente, esta variante de botnet verifica la existencia de un parámetro especifico, de no encontrarse, este asigna el valor “unknown” y prosigue con su ejecución. La botnet realiza distintos chequeos en la ruta de ejecución, para asegurarse que este no sea “/lib”, “/sbin/” o bien “/usr/”, si esta falla, la ejecución es abortada inmediatamente y la botnet se termina a si misma.

Antes que se realice alguna conexión con el servidor C2 de los atacantes, el malware inicia todas las funciones de ataque DDoS. La cual contiene un total de 11 métodos. El primer paquete que se transmite al servidor contiene parámetros derivados del script obtenido vía CVE-2023-28771. Este lleva el prefijo “TCP Connection”. El servidor C2 ejecuta comandos que la botnet manipula mediante una estructura de caso de switch, la cual incorpora las siguientes capacidades:

• caso 0: realizar conexión inicial.
• caso 1: reposo.
• caso 2: enviar señal de mantenimiento.
• caso 3: leer comandos adicionales o iniciar ataque DDoS.
• Caso 4: cerrar conexión.

El análisis de estas botnet se da en el margen de otros ataques DDoS reportados por Cloudflare, quienes resaltaban lo sofisticado de dichos ataques, con métodos novedosos para la evasión de la detección mediante la imitación del comportamiento de buscadores y manteniendo sus tasas de ataque por segundo relativamente bajas.

Como se ha podido observar, tener como objetivo dispositivos vulnerables resulta ser un objetivo principal para actores maliciosos, por lo que la exposición de estas podría conducir a un riesgo significativo.

En relación con el caso que compete, un atacante podría ganar control de algún dispositivo vulnerable, incorporarlo a una botnet, habilitarlos de manera que puedan conducir ataques, como es este el caso, de denegación de servicios. Es aquí donde se vuelve realmente importante contar con un programa efectivo de parcheo y actualizaciones, con la finalidad de minimizar la superficie de riesgo.

Indicadores de compromiso