HiatusRAT apunta al firmware del enrutador
Los investigadores de Lumen Black Lotus Labs descubrieron una nueva campaña de malware a la que llamaron "Hiatus". Esta campaña está dirigida a enrutadores de nivel empresarial, principalmente los modelos DrayTek Vigor 2960 y 3900, que pueden admitir conexiones VPN para trabajadores remotos y son ideales para empresas medianas. Una vez infectado, el malware despliega dos binarios maliciosos: un troyano de acceso remoto (RAT) conocido como HiatusRAT.
HiatusRAT permite a los atacantes interactuar de forma remota con el sistema infectado y convertirlo en un proxy encubierto. El binario centrado en la captura de paquetes permite al actor monitorear el tráfico del enrutador en los puertos asociados con las comunicaciones de transferencia de archivos y correo electrónico. Los actores de amenazas detrás de la campaña se han dirigido principalmente a enrutadores al final de su vida útil que ejecutan una arquitectura i386, pero también se descubrieron binarios preconstruidos que apuntan a chips basados en MIPS, i386 y ARM.
Lumen Black Lotus Labs® ha identificado al menos 100 víctimas infectadas, principalmente en Europa y América Latina, utilizando telemetría patentada de la red troncal IP global de Lumen. La última versión del malware se activó a mediados de 2022. Se sospecha que la campaña tiene como objetivo la recopilación de datos y el establecimiento de una red proxy encubierta.
La campaña Hiatus consta de tres componentes: un script bash, HiatusRAT y una variante de tcpdump que permite la captura de paquetes. HiatusRAT tiene dos propósitos: interactuar de forma remota con el dispositivo infectado y actuar como un dispositivo proxy SOCKS5 en el enrutador. Esto permite que el actor transmita el tráfico de C&C a través del enrutador para ofuscar el comando y el control de un agente adicional en otro lugar.
¿Qué es un troyano de acceso remoto?
Un troyano de acceso remoto (RAT) es un tipo de software malicioso que proporciona acceso no autorizado a la computadora o red de una víctima. Las RAT generalmente se propagan a través de correos electrónicos de phishing, tácticas de ingeniería social o vulnerabilidades de software. Una vez instalado, el atacante obtiene control remoto sobre el dispositivo comprometido y puede realizar varias acciones, como robar datos confidenciales, modificar archivos o instalar malware adicional. Las RAT también se pueden usar para espiar las actividades de la víctima, grabar pulsaciones de teclas, tomar capturas de pantalla y encender la cámara y el micrófono de la víctima. Las RAT se consideran una amenaza grave para la privacidad y la seguridad, y los usuarios deben tomar medidas para evitar su instalación, como mantener su software antivirus actualizado y evitar descargas o archivos adjuntos de correo electrónico sospechosos.
