La variante de la botnet Mirai aprovecha una falla del enrutador Four-Faith para desatar ataques DDoS
En un duro recordatorio de los crecientes peligros que plantean las botnets, una nueva variante de Mirai ha estado explotando vulnerabilidades en los enrutadores industriales Four-Faith desde principios de noviembre de 2024. Esta última botnet, denominada "gayfemboy" (un término derivado de sus referencias ofensivas al código fuente), resalta la amenaza persistente de los ataques distribuidos de denegación de servicio (DDoS) y subraya la necesidad de contar con sólidas defensas de ciberseguridad.
Con 15.000 direcciones IP activas diarias repartidas en regiones como China, Irán, Rusia, Turquía y Estados Unidos, esta botnet ha alcanzado proporciones devastadoras. Su capacidad para aprovechar tanto las vulnerabilidades de día cero como una larga lista de más de 20 fallos de seguridad conocidos es una llamada de atención tanto para las empresas como para los usuarios individuales.
Table of Contents
La vulnerabilidad explotada: CVE-2024-12856
En el centro de la reciente campaña de la botnet se encuentra CVE-2024-12856, una vulnerabilidad de inyección de comandos que afecta a los modelos de enrutadores Four-Faith F3x24 y F3x36. La falla, que tiene una puntuación CVSS de 7,2, permite a los atacantes explotar enrutadores configurados con credenciales predeterminadas sin cambios.
Desde su descubrimiento en noviembre de 2024, esta vulnerabilidad se ha explotado activamente para distribuir cargas útiles maliciosas, incluidas shells inversas y una variante de malware basada en Mirai. Al apuntar a enrutadores de grado industrial, los atacantes pueden aprovechar dispositivos altamente conectados , lo que amplifica el alcance y la eficacia de su botnet.
Una estrategia de ataque de múltiples frentes
La variante Mirai emplea una combinación de tácticas para infectar dispositivos y maximizar su impacto:
- Acceso inicial mediante credenciales débiles
La botnet escanea en busca de dispositivos con credenciales Telnet débiles o configuraciones predeterminadas de fábrica, un descuido de seguridad común en muchos sistemas industriales y de IoT. - Explotación de una larga lista de vulnerabilidades
Además de CVE-2024-12856, la botnet explota más de 20 vulnerabilidades adicionales, incluidas fallas que datan de 2013, como:- CVE-2013-3307
- CVE-2016-20016
- CVE-2021-35394
- Capacidades del malware basado en Mirai
Una vez implementado, el malware adopta técnicas para:- Ocultar procesos maliciosos.
- Ejecutar comandos para localizar nuevos dispositivos vulnerables.
- Actualice continuamente su carga útil de malware.
- Lanzar ataques DDoS dirigidos.
La escala y el impacto de los ataques
La botnet ha orquestado ataques DDoS diarios contra cientos de objetivos, alcanzando picos de ancho de banda de 100 Gbps. Aunque estos ataques suelen durar solo entre 10 y 30 segundos, la entrada repentina de tráfico puede saturar los servidores, interrumpir los servicios y causar daños importantes.
En particular, en octubre y noviembre de 2024 se produjo un aumento en la actividad de botnets, donde el malware buscó y comprometió agresivamente dispositivos.
La amenaza más amplia de las botnets
Esta última variante de Mirai forma parte de una tendencia más amplia de cibercriminales que explotan vulnerabilidades en dispositivos industriales y de IoT para crear botnets . Entre las campañas similares se incluyen:
- Advertencia de Juniper Networks : actores maliciosos apuntan a productos Session Smart Router (SSR) con contraseñas predeterminadas para propagar malware Mirai.
- Informe de Akamai : Las infecciones de Mirai utilizan fallas de ejecución remota de código en los DVR de DigiEver como arma.
Estos incidentes reflejan una realidad preocupante: mientras los dispositivos permanezcan mal configurados o sin parches, los atacantes seguirán explotándolos para aumentar sus ejércitos de botnets.
Cómo protegerse contra las redes de bots Mirai y los ataques DDoS
Dada la amenaza persistente y cambiante de las botnets basadas en Mirai, es fundamental que las organizaciones y los usuarios adopten medidas de seguridad integrales:
- Cambiar credenciales predeterminadas
Reemplace las contraseñas predeterminadas de fábrica en todos los dispositivos con credenciales únicas y seguras. - Aplicar parches y actualizar dispositivos periódicamente
Mantenga el firmware y el software del enrutador actualizados para mitigar vulnerabilidades conocidas como CVE-2024-12856. - Implementar la segmentación de red
Aísle los dispositivos IoT e industriales de las redes críticas para limitar el movimiento lateral. - Monitorizar el tráfico inusual
Utilice sistemas de detección de intrusiones (IDS) y herramientas de monitoreo basadas en anomalías para detectar patrones de tráfico inusuales indicativos de actividad DDoS. - Implementar soluciones anti-DDoS
La protección DDoS basada en la nube puede absorber y mitigar ataques de gran ancho de banda antes de que lleguen a su red. - Limitar Telnet y el acceso remoto
Deshabilite el acceso Telnet y restrinja las interfaces de administración remota únicamente a direcciones IP confiables.
Las amenazas DDoS están evolucionando
La última variante de la botnet Mirai es más que una cepa más de malware: es un presagio de la creciente sofisticación de las amenazas DDoS. Al explotar las vulnerabilidades de los enrutadores industriales y los dispositivos IoT, los atacantes están creando botnets con mayor alcance y potencial destructivo.
Para mantenerse a la vanguardia de estas amenazas, las organizaciones y las personas deben permanecer alertas, proteger sus dispositivos y adoptar prácticas de ciberseguridad proactivas. Como demuestra esta campaña, incluso las vulnerabilidades aparentemente menores pueden tener un impacto enorme si no se abordan.
