Los actores de amenazas detr\u00e1s ShellBot<\/strong> est\u00e1n aprovechando las direcciones IP transformadas a su notaci\u00f3n hexadecimal para infiltrarse en servidores SSH Linux mal administrados e implementar el malware DDoS.<\/p>\n “El flujo general sigue siendo el mismo, pero la URL de descarga utilizada por el actor de amenazas para instalar ShellBot ha cambiado de una direcci\u00f3n IP normal a un valor hexadecimal”, dijo el Centro de respuesta a emergencias de seguridad de AhnLab (ASEC) dicho<\/a> en un nuevo informe publicado hoy.<\/p>\n Se sabe que ShellBot, tambi\u00e9n conocido con el nombre de PerlBot, viola servidores que tienen credenciales SSH d\u00e9biles mediante un Ataque de diccionario<\/a>con el malware utilizado como conducto para organizar ataques DDoS y entregar mineros de criptomonedas.<\/p>\n Desarrollado en Perl, el malware utiliza el protocolo IRC para comunicarse con un servidor de comando y control (C2).<\/p>\n Se ha descubierto que el \u00faltimo conjunto de ataques observados que involucran a ShellBot instala el malware utilizando direcciones IP hexadecimales: hxxp:\/\/0x2763da4e\/, que corresponde a 39.99.218.[.]78 \u2013 en lo que se considera un intento de evadir las firmas de detecci\u00f3n basadas en URL.<\/p>\n “Debido al uso de curl para la descarga y su capacidad para admitir hexadecimal al igual que los navegadores web, ShellBot puede descargarse exitosamente en un entorno de sistema Linux y ejecutarse a trav\u00e9s de Perl”, dijo ASEC.<\/p>\n El desarrollo es una se\u00f1al de que ShellBot contin\u00faa siendo testigo de un uso constante para lanzar ataques contra sistemas Linux.<\/p>\n Dado que ShellBot puede usarse para instalar malware adicional o lanzar diferentes tipos de ataques desde el servidor comprometido, se recomienda que los usuarios cambien a contrase\u00f1as seguras y las cambien peri\u00f3dicamente para resistir ataques de fuerza bruta y de diccionario.<\/p>\n La divulgaci\u00f3n tambi\u00e9n se produce cuando ASEC revel\u00f3 que los atacantes est\u00e1n utilizando certificados anormales como armas con cadenas inusualmente largas para los campos Nombre del sujeto y Nombre del emisor en un intento por distribuir malware de robo de informaci\u00f3n como Lumma Stealer y una variante de RedLine Stealer conocida como Plusmarquista<\/a>.<\/p>\n “Este tipo de malware se distribuye a trav\u00e9s de p\u00e1ginas maliciosas a las que se puede acceder f\u00e1cilmente a trav\u00e9s de motores de b\u00fasqueda (intoxicaci\u00f3n SEO), lo que supone una amenaza para una amplia gama de usuarios no especificados”, afirma ASEC dicho<\/a>. “Estas p\u00e1ginas maliciosas utilizan principalmente palabras clave relacionadas con programas ilegales como seriales, keygens y cracks”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/ShellBot-utiliza-direcciones-IP-hexadecimales-para-evadir-la-deteccion-en.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n