Botnet RUBYCARP atribuida al actor de amenazas rumano

Se ha observado que un grupo de amenazas cibernéticas que se sospecha es de origen rumano, conocido como RUBYCARP, opera una botnet persistente para participar en diversas actividades ilícitas, incluida la minería de criptomonedas, ataques distribuidos de denegación de servicio (DDoS) y esquemas de phishing.

Este grupo, que se cree que ha estado activo durante al menos una década, utiliza la botnet principalmente para obtener ganancias financieras, según informó Sysdig y compartió con The Hacker News. Su modus operandi implica implementar una botnet a través de una variedad de exploits públicos y tácticas de fuerza bruta y comunicarse a través de redes IRC públicas y privadas.

La evidencia sugiere que RUBYCARP podría superponerse con otra entidad amenazante rastreada por la firma albanesa de ciberseguridad Alphatechs, identificada como Outlaw. Outlaw tiene un historial de participación en criptominería y ataques de fuerza bruta, pero recientemente ha cambiado su enfoque hacia campañas de phishing y phishing.

RUBYCARP se centra en el phishing como vector de ataque inicial

Estos intentos de phishing tienen como objetivo engañar a las víctimas para que revelen información confidencial, como credenciales de inicio de sesión o datos financieros, según el investigador de seguridad Brenton Isufi.

Un aspecto digno de mención de los métodos de RUBYCARP es el uso del malware ShellBot (también conocido como PerlBot) para infiltrarse en los entornos de destino. También explotan vulnerabilidades en Laravel Framework, una táctica compartida con otros actores de amenazas como AndroxGh0st.

Para ampliar el alcance de su botnet, se ha observado que RUBYCARP compromete sitios de WordPress utilizando combinaciones comunes de nombre de usuario y contraseña. Una vez obtenido el acceso, instalan una puerta trasera basada en el popular Perl ShellBot, conectando el servidor de la víctima a un servidor de Internet Relay Chat (IRC) que actúa como comando y control.

La botnet, que se estima incluye más de 600 hosts, depende en gran medida del IRC para la comunicación y coordinación de campañas de criptominería. Además, los miembros del grupo se comunican a través de un canal IRC de Undernet llamado #cristi y utilizan una herramienta de escaneo masivo para identificar nuevos hosts potenciales.

La aparición de RUBYCARP en el panorama de las amenazas cibernéticas subraya su habilidad para aprovechar la botnet para diversas actividades ilegales, incluida la criptominería y las operaciones de phishing destinadas a robar información confidencial, como números de tarjetas de crédito.