- \n
- botnet muhstik<\/b> explota una falla cr\u00edtica de Apache RocketMQ (CVE-2023-33246) para ejecuci\u00f3n remota de c\u00f3digo<\/b>dirigido a servidores Linux y dispositivos IoT para Ataques DDoS y miner\u00eda de criptomonedas<\/b>.<\/li>\n
- La infecci\u00f3n implica ejecutar un script de shell desde una IP remota, descargar el Binario de malware Muhstik (“pty3”)<\/b>y garantizar la persistencia copiando a m\u00faltiples directorios y editando archivos del sistema.<\/li>\n
- Con m\u00e1s de 5.000 instancias vulnerables de Apache RocketMQ<\/b> todav\u00eda expuesto, las organizaciones deben actualizar a la \u00faltima versi\u00f3n<\/b> para mitigar los riesgos, al mismo tiempo que protege los servidores MS-SQL contra ataques de fuerza bruta y garantiza cambios regulares de contrase\u00f1a.<\/li>\n<\/ul>\n<\/div>\n
La botnet distribuida de denegaci\u00f3n de servicio (DDoS) conocida como muhstik<\/strong> Se ha observado que aprovecha una falla de seguridad ahora parcheada que afecta a Apache RocketMQ para cooptar servidores susceptibles y expandir su escala.<\/p>\n
“Muhstik es una amenaza bien conocida dirigida a dispositivos IoT y servidores basados \u200b\u200ben Linux, conocida por su capacidad para infectar dispositivos y utilizarlos para la extracci\u00f3n de criptomonedas y lanzar ataques de denegaci\u00f3n de servicio distribuido (DDoS)”, dijo la empresa de seguridad en la nube Aqua. dicho<\/a> en un informe publicado esta semana.<\/p>\n
Documentadas por primera vez en 2018, las campa\u00f1as de ataque que involucran malware tienen un historial de explotaci\u00f3n de fallas de seguridad conocidas, espec\u00edficamente aquellas relacionadas con aplicaciones web, para su propagaci\u00f3n.<\/p>\n
La \u00faltima incorporaci\u00f3n a la lista de vulnerabilidades explotadas es CVE-2023-33246 (puntuaci\u00f3n CVSS: 9,8), una falla de seguridad cr\u00edtica<\/a> que afecta a Apache RocketMQ y que permite a un atacante remoto y no autenticado realizar la ejecuci\u00f3n remota de c\u00f3digo falsificando el contenido del protocolo RocketMQ o utilizando la funci\u00f3n de configuraci\u00f3n de actualizaci\u00f3n.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/1718016424_202_Sticky-Werewolf-amplia-los-objetivos-de-los-ciberataques-en-Rusia.png\")
<\/a><\/center><\/div>\nUna vez que se abusa con \u00e9xito de la deficiencia para obtener acceso inicial, el actor de la amenaza procede a ejecutar un script de shell alojado en una direcci\u00f3n IP remota, que luego es responsable de recuperar el binario Muhstik (“pty3”) de otro servidor.<\/p>\n
“Despu\u00e9s de obtener la capacidad de cargar la carga maliciosa explotando la vulnerabilidad RocketMQ, el atacante puede ejecutar su c\u00f3digo malicioso, que descarga el malware Muhstik”, dijo el investigador de seguridad Nitzan Yaakov.<\/p>\n
La persistencia en el host se logra copiando el binario del malware en m\u00faltiples directorios y editando el archivo \/etc\/inittab, que controla qu\u00e9 procesos iniciar durante el arranque de un servidor Linux, para reiniciar autom\u00e1ticamente el proceso.<\/p>\n
Es m\u00e1s, nombrar el binario como “pty3” es probablemente un intento de hacerse pasar por un pseudoterminal (“pty<\/a>“) y evadir la detecci\u00f3n. Otra t\u00e9cnica de evasi\u00f3n es que el malware se copia a directorios como \/dev\/shm, \/var\/tmp, \/run\/lock y \/run durante la fase de persistencia, lo que permite ejecutarlo directamente desde memoria y evitar dejar rastros en el sistema.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/1718339213_349_Muhstik-Botnet-explota-la-falla-de-Apache-RocketMQ-para-expandir.png\")
<\/a><\/div>\nMuhstik viene equipado con funciones para recopilar metadatos del sistema, moverse lateralmente a otros dispositivos a trav\u00e9s de un shell seguro (SSH) y, en \u00faltima instancia, establecer contacto con un dominio de comando y control (C2) para recibir m\u00e1s instrucciones mediante Internet Relay Chat (IRC<\/a>) protocolo.<\/p>\n
El objetivo final del malware es convertir los dispositivos comprometidos en armas para realizar diferentes tipos de ataques de inundaci\u00f3n contra objetivos de inter\u00e9s, abrumando efectivamente sus recursos de red y desencadenando una condici\u00f3n de denegaci\u00f3n de servicio.<\/p>\n
Con 5216 instancias vulnerables de Apache RocketMQ a\u00fan expuestas a Internet despu\u00e9s de m\u00e1s de un a\u00f1o de divulgaci\u00f3n p\u00fablica de la falla, es esencial que las organizaciones tomen medidas para actualizar a la \u00faltima versi\u00f3n a fin de mitigar posibles amenazas.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Sticky-Werewolf-amplia-los-objetivos-de-los-ciberataques-en-Rusia.jpg\")
<\/a><\/center><\/div>\n“Adem\u00e1s, en campa\u00f1as anteriores, se detect\u00f3 actividad de criptominer\u00eda despu\u00e9s de la ejecuci\u00f3n del malware Muhstik”, dijo Yaakov. “Estos objetivos van de la mano, ya que los atacantes se esfuerzan por propagarse e infectar m\u00e1s m\u00e1quinas, lo que les ayuda en su misi\u00f3n de extraer m\u00e1s criptomonedas utilizando la energ\u00eda el\u00e9ctrica de las m\u00e1quinas comprometidas”.<\/p>\n
La divulgaci\u00f3n se produce cuando el Centro de inteligencia de seguridad de AhnLab (ASEC) revel\u00f3 que los actores de amenazas est\u00e1n atacando servidores MS-SQL mal protegidos con varios tipos de malware, que van desde ransomware y troyanos de acceso remoto hasta proxyware.<\/p>\n
“Los administradores deben utilizar contrase\u00f1as dif\u00edciles de adivinar para sus cuentas y cambiarlas peri\u00f3dicamente para proteger el servidor de la base de datos de ataques de fuerza bruta y ataques de diccionario”, ASEC dicho<\/a>. “Tambi\u00e9n deben aplicar los \u00faltimos parches para prevenir ataques de vulnerabilidad”.<\/p>\n
<\/p>\n
- La infecci\u00f3n implica ejecutar un script de shell desde una IP remota, descargar el Binario de malware Muhstik (“pty3”)<\/b>y garantizar la persistencia copiando a m\u00faltiples directorios y editando archivos del sistema.<\/li>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Muhstik-Botnet-explota-la-falla-de-Apache-RocketMQ-para-expandir.png\")
<\/a><\/center><\/div>\n