Investigadores de ciberseguridad han descubierto una nueva familia de malware de botnet llamada Gorilla (también conocido como GorillaBot) que es una variante del código fuente de la botnet Mirai filtrado.
La empresa de ciberseguridad NSFOCUS, que identificó la actividad el mes pasado, dicho la botnet “emitió más de 300.000 comandos de ataque, con una densidad de ataque impactante” entre el 4 y el 27 de septiembre de 2024. Cada día se han emitido desde la botnet no menos de 20.000 comandos diseñados para montar ataques distribuidos de denegación de servicio (DDoS). de término medio.
Se dice que la botnet se ha dirigido a más de 100 países, atacando universidades, sitios web gubernamentales, telecomunicaciones, bancos, juegos y sectores de apuestas. China, Estados Unidos, Canadá y Alemania se han convertido en los países más atacados.
La empresa con sede en Beijing dijo que Gorilla utiliza principalmente inundación UDPinundación ACK BYPASS, Inundación del motor de fuente de válvula (VSE), inundación SYNy inundación de ACK Para llevar a cabo los ataques DDoS, agregar la naturaleza sin conexión del protocolo UDP permite que la suplantación de IP de origen arbitrario genere una gran cantidad de tráfico.
Además de admitir múltiples arquitecturas de CPU, como ARM, MIPS, x86_64 y x86, la botnet viene con capacidades para conectarse con uno de los cinco servidores de comando y control (C2) predefinidos para esperar comandos DDoS.
En un giro interesante, el malware también incorpora funciones para explotar una falla de seguridad en Apache Hadoop YARN RPC para lograr la ejecución remota de código. Vale la pena señalar que se ha abusado de la deficiencia en la naturaleza ya en 2021, según Nube de Alibaba y Tendencia Micro.
La persistencia en el host se logra creando un archivo de servicio llamado custom.service en el directorio “/etc/systemd/system/” y configurándolo para que se ejecute automáticamente cada vez que se inicia el sistema.
El servicio, por su parte, se encarga de descargar y ejecutar un script de shell (“lol.sh”) desde un servidor remoto (“pen.gorillafirewall”).[.]su”). También se agregan comandos similares a los archivos “/etc/inittab”, “/etc/profile” y “/boot/bootcmd” para descargar y ejecutar el script de shell al iniciar el sistema o al iniciar sesión.
“Introdujo varios métodos de ataque DDoS y utilizó algoritmos de cifrado comúnmente empleados por el grupo Keksec para ocultar información clave, mientras empleaba múltiples técnicas para mantener el control a largo plazo sobre los dispositivos IoT y los hosts de la nube, demostrando un alto nivel de conciencia de contradetección como un familia de botnets emergente”, afirmó NSFOCUS.
About the Author
