Los enrutadores Archer TP-Link sin parpadear se han convertido en el objetivo de una nueva campa\u00f1a de Botnet denominada Ballista, seg\u00fan nuevos hallazgos del equipo de CATO CTRL.<\/p>\n
“El Botnet explota una vulnerabilidad de ejecuci\u00f3n de c\u00f3digo remoto (RCE) en los enrutadores Archer TP-Link (CVE-2023-1389) para propagarse autom\u00e1ticamente a trav\u00e9s de Internet”, dijeron los investigadores de seguridad dek Vardi y Matan Mittelman en un informe t\u00e9cnico compartido con Hacker News.<\/p>\n
CVE-2023-1389 es una falla de seguridad de alta severidad que afecta los enrutadores TP-Link Archer AX-21 que podr\u00edan conducir a la inyecci\u00f3n de comandos, que luego podr\u00edan allanar el camino para la ejecuci\u00f3n del c\u00f3digo remoto.<\/p>\n
La evidencia m\u00e1s temprana de explotaci\u00f3n activa de la falla se remonta a abril de 2023, con actores de amenaza no identificados que lo usan para soltar malware Mirai Botnet. Desde entonces, tambi\u00e9n se ha abusado de propagar a otras familias de malware como Condi y Androxgh0st.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Ballista-Botnet-Exploits-Vulnerabilidad-de-TP-Link-sin-parpadeo-infecta-mas.png\")
<\/a><\/center><\/div>\nCato CTRL dijo que detect\u00f3 la campa\u00f1a Ballista el 10 de enero de 2025. El intento de explotaci\u00f3n m\u00e1s reciente se registr\u00f3 el 17 de febrero.<\/p>\n
La secuencia de ataque implica el uso de un gotero de malware, un script de shell (“dropbpb.sh”) que est\u00e1 dise\u00f1ado para obtener y ejecutar el binario principal en el sistema de destino para diversas arquitecturas del sistema como MIPS, MIPSEL, ARMV5L, ARMV7L y X86_64.<\/p>\n
Una vez ejecutado, el malware establece un canal de comando y control (C2) cifrado en el puerto 82 para tomar el control del dispositivo.<\/p>\n
“Esto permite que ejecutar comandos de shell realice m\u00e1s ataques de RCE y denegaci\u00f3n de servicio (DOS)”, dijeron los investigadores. “Adem\u00e1s, el malware intenta leer archivos confidenciales en el sistema local”.<\/p>\n
<\/a><\/div>\nAlgunos de los comandos compatibles se enumeran a continuaci\u00f3n –<\/p>\n
- \n
- inundaci\u00f3n, que desencadena un ataque de inundaci\u00f3n<\/li>\n
- Exploitador, que explota CVE-2023-1389<\/li>\n
- Inicio, un par\u00e1metro opcional que se usa con el explotador para iniciar el m\u00f3dulo<\/li>\n
- Cerrar, que detiene la funci\u00f3n de activaci\u00f3n del m\u00f3dulo<\/li>\n
- Shell, que ejecuta un comando Linux Shell en el sistema local.<\/li>\n
- killall, que se usa para terminar el servicio<\/li>\n<\/ul>\n
Adem\u00e1s, es capaz de terminar instancias anteriores de s\u00ed misma y borrar su propia presencia una vez que comienza la ejecuci\u00f3n. Tambi\u00e9n est\u00e1 dise\u00f1ado para extenderse a otros enrutadores intentando explotar el defecto.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Mozilla-actualiza-los-terminos-de-Firefox-nuevamente-despues-de-una.jpg\")
<\/a><\/center><\/div>\nEl uso de la ubicaci\u00f3n de la direcci\u00f3n IP C2 (2.237.57[.]70) y la presencia de cadenas de idiomas italianos en los binarios de malware sugiere la participaci\u00f3n de un actor de amenaza italiana desconocida, dijo la compa\u00f1\u00eda de seguridad cibern\u00e9tica.<\/p>\n
Dicho esto, parece que el malware est\u00e1 en desarrollo activo dado que la direcci\u00f3n IP ya no es funcional y existe una nueva variante del gotero que utiliza dominios de red TOR en lugar de una direcci\u00f3n IP codificada.<\/p>\n
Una b\u00fasqueda sobre la plataforma de gesti\u00f3n de la superficie de ataque censica revela que M\u00e1s de 6,000 dispositivos<\/a> est\u00e1n infectados por Ballista. Las infecciones se concentran en Brasil, Polonia, el Reino Unido, Bulgaria y Turqu\u00eda.<\/p>\n
Se ha encontrado que la botnet se dirige a las organizaciones de fabricaci\u00f3n, m\u00e9dica\/salud, servicios y tecnolog\u00eda en los Estados Unidos, Australia, China y M\u00e9xico.<\/p>\n
“Si bien esta muestra de malware comparte similitudes con otras botnets, sigue siendo distinto de botnets ampliamente utilizados como Mirai y Mozi”, dijeron los investigadores.<\/p>\n
<\/p>\n