Cuidado con Lemon Duck: un criptominero que puede utilizar contraseñas de fuerza bruta

A finales de octubre de 2020, los investigadores de seguridad emitieron una advertencia sobre la botnet Lemon Duck. La botnet de minería de criptomonedas está registrando un aumento significativo de la actividad y haciendo que los bots de cripto mineros sean relevantes una vez más.

La botnet Lemon Duck ha sido descrita como una de las redes de bots "más complejas" centradas en la cripto-minería. El consenso es que ha existido desde al menos finales de 2018, pero ha habido un aumento visible en las solicitudes que apuntan a los servidores de comando y control de Lemon Duck, a partir de agosto de 2020. El aumento de la actividad está vinculado a ataques que se centraron principalmente en Territorios asiáticos.

La nueva investigación sobre el aumento de actividad de Lemon Duck se origina en Cisco Talos, quien notó señales inusuales ya en marzo de 2020.

Lemon Duck tiene una cantidad asombrosa de vectores de infección: hasta ahora se han descubierto una docena. Éstos cubren una variedad de enfoques, desde el escritorio remoto hasta la explotación de una vulnerabilidad específica de Windows, los archivos adjuntos maliciosos en los correos electrónicos , el uso de contraseñas por fuerza bruta e incluso la explotación de una plataforma de programación específica de Linux.

Cómo funciona el pato limón

Lemon Duck primero descarga y ejecuta un script de PowerShell que desactiva las protecciones en tiempo real de Windows Defender, luego excluye el proceso de PowerShell de la lista de escaneo. A continuación, el script de PowerShell comprueba si el proceso de PowerShell se ejecuta con privilegios de administrador. Si ese es el caso, la carga útil se descarga y se ejecuta en el sistema.

La botnet escanea el sistema y verifica el fabricante y el modelo específico de la tarjeta gráfica instalada. Si no se detecta una GPU discreta, la carga útil descarga un script de minería separado que se ejecuta en la CPU del sistema. Lemon Duck también incluye la asombrosa cantidad de 10,000 líneas de código dedicadas solo al módulo que se encarga de difundir la botnet.

El módulo de difusión de la botnet también tiene un componente de correo electrónico. Esto utiliza correos electrónicos con líneas de asunto principalmente relacionadas con Covid-19 u otras oraciones impactantes, destinadas a asustar al usuario para que abra sus archivos adjuntos que contienen los archivos maliciosos.

Lemon Duck se ha utilizado en campañas dirigidas a todo tipo de dispositivos conectados a Internet, como televisores inteligentes, impresoras e incluso vehículos con un sistema de piloto automático que dependen de componentes que se ejecutan en Windows 7.