Una nueva botnet basada en Mirai llamada NoaBot<\/strong> est\u00e1 siendo utilizado por actores de amenazas como parte de una campa\u00f1a de criptominer\u00eda desde principios de 2023.<\/p>\n “Las capacidades de la nueva botnet, NoaBot, incluyen un propagador autom\u00e1tico de gusanos y una puerta trasera con clave SSH para descargar y ejecutar binarios adicionales o propagarse a nuevas v\u00edctimas”, dijo el investigador de seguridad de Akamai, Stiv Kupchik, en un informe<\/a> compartido con The Hacker News.<\/p>\n Mirai, cuyo c\u00f3digo fuente se filtr\u00f3 en 2016, ha sido el progenitor de varias botnets, la m\u00e1s reciente fue InfectedSlurs, que es capaz de montar ataques distribuidos de denegaci\u00f3n de servicio (DDoS).<\/p>\n Hay indicios de que NoaBot podr\u00eda estar vinculado a otra campa\u00f1a de botnet que involucra una familia de malware basada en Rust conocida como P2PInfect, que recientemente recibi\u00f3 una actualizaci\u00f3n para apuntar a enrutadores y dispositivos de IoT.<\/p>\n Esto se basa en el hecho de que los actores de amenazas tambi\u00e9n han experimentado con la eliminaci\u00f3n de P2PInfect en lugar de NoaBot en ataques recientes dirigidos a servidores SSH, lo que indica probables intentos de pasar a malware personalizado.<\/p>\n A pesar de los fundamentos Mirai de NaoBot, su m\u00f3dulo esparcidor aprovecha un esc\u00e1ner SSH para buscar servidores susceptibles a Ataque de diccionario<\/a> para aplicarles fuerza bruta y agregar una clave p\u00fablica SSH en el archivo .ssh\/authorized_keys para acceso remoto. Opcionalmente, tambi\u00e9n puede descargar y ejecutar archivos binarios adicionales despu\u00e9s de una explotaci\u00f3n exitosa o propagarse a nuevas v\u00edctimas.<\/p>\n “NoaBot est\u00e1 compilado con uClibc, lo que parece cambiar la forma en que los motores antivirus detectan el malware”, se\u00f1al\u00f3 Kupchik. “Mientras que otras variantes de Mirai normalmente se detectan con una firma Mirai, las firmas antivirus de NoaBot son las de un esc\u00e1ner SSH o un troyano gen\u00e9rico”.<\/p>\n Adem\u00e1s de incorporar t\u00e1cticas de ofuscaci\u00f3n para dificultar el an\u00e1lisis, la cadena de ataque finalmente resulta en la implementaci\u00f3n de una versi\u00f3n modificada del minero de monedas XMRig.<\/p>\n Lo que hace que la nueva variante est\u00e9 por encima de otras campa\u00f1as similares basadas en la botnet Mirai es que no contiene ninguna informaci\u00f3n sobre el grupo de miner\u00eda o la direcci\u00f3n de la billetera, lo que hace imposible evaluar la rentabilidad del esquema de miner\u00eda il\u00edcita de criptomonedas.<\/p>\n “El minero ofusca su configuraci\u00f3n y tambi\u00e9n utiliza un grupo de miner\u00eda personalizado para evitar exponer la direcci\u00f3n de billetera utilizada por el minero”, dijo Kupchik, destacando cierto nivel de preparaci\u00f3n de los actores de amenazas.<\/p>\n Akamai dijo que identific\u00f3 849 direcciones IP de v\u00edctimas hasta la fecha que est\u00e1n distribuidas geogr\u00e1ficamente por todo el mundo, con altas concentraciones reportadas en China, hasta el punto de que representa casi el 10% de todos los ataques contra sus honeypots en 2023.<\/p>\n “El m\u00e9todo de movimiento lateral del malware es a trav\u00e9s de viejos ataques de diccionario de credenciales SSH”, dijo Kupchik. “Restringir el acceso SSH arbitrario a Internet a su red disminuye en gran medida los riesgos de infecci\u00f3n. Adem\u00e1s, el uso de contrase\u00f1as seguras (no predeterminadas ni generadas aleatoriamente) tambi\u00e9n hace que su red sea m\u00e1s segura, ya que el malware utiliza una lista b\u00e1sica de contrase\u00f1as adivinables<\/a>“.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/NoaBot-la-ultima-botnet-basada-en-Mirai-dirigida-a-servidores.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n