NoaBot: un nuevo malware basado en el código Mirai

Una botnet recientemente surgida llamada NoaBot, que se basa en Mirai, ha sido empleada por actores de amenazas en una campaña de criptominería desde principios de 2023. Según un informe del investigador de seguridad Stiv Kupchik, NoaBot cuenta con características como un gusano que se propaga automáticamente. y una puerta trasera con clave SSH, que permite la descarga y ejecución de archivos binarios adicionales o la propagación a nuevas víctimas.

Mirai, cuyo código fuente se filtró en 2016, ha dado lugar a varias botnets, siendo la última InfectedSlurs, capaz de lanzar ataques distribuidos de denegación de servicio (DDoS). Hay indicios de que NoaBot puede tener conexiones con otra campaña de botnet que involucra una familia de malware basada en Rust conocida como P2PInfect, recientemente actualizada para apuntar a enrutadores y dispositivos IoT.

NoaBot confía en el escáner SSH para buscar vulnerabilidades

La evidencia sugiere que los actores de amenazas han experimentado con la sustitución de P2PInfect por NoaBot en ataques recientes a servidores SSH, lo que sugiere posibles esfuerzos para realizar la transición a malware personalizado. A pesar de la base Mirai de NoaBot, su módulo esparcidor emplea un escáner SSH para identificar servidores vulnerables a ataques de diccionario, lo que le permite aplicar fuerza bruta y agregar una clave pública SSH para acceso remoto. Opcionalmente, puede descargar y ejecutar binarios adicionales después de una explotación exitosa o propagarse a nuevas víctimas.

En particular, NoaBot se destaca de otras campañas basadas en la botnet Mirai porque su variante carece de información sobre el grupo de minería o la dirección de la billetera, lo que dificulta evaluar la rentabilidad del esquema de minería ilícita de criptomonedas. Los investigadores han identificado 849 direcciones IP de víctimas, geográficamente dispersas en todo el mundo, con una concentración significativa en China, lo que representa casi el 10% de todos los ataques contra sus honeypots en 2023.