• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / Malware / Mukashi, la nueva variante de Mirai que explota los NAS Zyxel

Mukashi, la nueva variante de Mirai que explota los NAS Zyxel

20 marzo, 2020 Por Alberto Segura Dejar un comentario

Atacantes están utilizando un fallo de seguridad en los NAS de Zyxel para infectarlos con una nueva variante del troyano Mirai

Mukashi es el nombre que se le ha dado a la nueva variante de Mirai, el malware que infecta dispositivos IoT expuestos en Internet para añadirlos a su red de ‘bots’.

En este caso, se han detectado intentos de explotación de una vulnerabilidad para los NAS de Zyxel, identificada con CVE-2020-9054. Aunque Zyxel ya ha lanzado parches de seguridad que corrigen esta vulnerabilidad, los atacantes están tratando de aprovecharla e infectar aquellos dispositivos que aún no han sido parcheados.

Poco después de que se hiciese pública la prueba de concepto de la vulnerabilidad el mes pasado, los atacantes comenzaron a utilizar el exploit para distribuir Mukashi.

Este fallo de seguridad en los productos de Zyxel permite a un atacante ejecutar comandos en el sistema Linux de los mismos gracias a una petición HTTP que puede realizarse sin necesidad de autenticarse en el panel web de estos NAS.

Petición realizada por los atacantes para explotar la vulnerabilidad e infectar el dispositivo

En la imagen anterior podemos observar la petición que realizan los atacantes para infectar el dispositivo. Como podemos ver, se trata de una inyección de comandos que, en este caso, se aprovecha para descargar y ejecutar un script Bash que continuará con la siguiente fase de la infección.

Script descargado

Como podemos observar, el script descarga ocho binarios diferentes, uno para cada una de las posibles arquitecturas que se pueden encontrar en el dispositivo infectado. Tras descargar cada uno de ellos, se configuran correctamente los permisos y se ejecuta, de forma que solamente aquel que corresponda con la arquitectura correcta podrá ejecutarse sin problemas, mientras que el resto fallará.

Una vez infectados, los dispositivos pasan a formar parte de la ‘botnet’, y su principal objetivo es infectar nuevos dispositivos a través del uso de credenciales por defecto o poco seguras en los servicios de Telnet.

Escaneo de servidores Telnet de forma aleatoria

Una vez que se encuentra un servidor de Telnet con una contraseña poco segura, este es reportado al servidor de control para que pase a formar parte de la ‘botnet’. La conexión con el servidor de control (45[.]84[.]196[.]75) se realiza a través del puerto 34834.

El mensaje enviado para reportar un nuevo dispositivo encontrado y sus credenciales tiene la siguiente estructura:

<dirección IP>:23 <nombre de usuario>:<contraseña>

Además, Mukashi, enviará un mensaje al servidor de control para informar de que el dispositivo ha sido infectado y se encuentra listo a la espera de recibir comandos. Para ello envía el mensaje al puerto 4864 del servidor de control indicando si se está ejecutando como root y el primer parámetro con el que se ejecutó el malware, lo que permite identificar el método de infección (si se usó un exploit y cual) y la arquitectura del dispositivo.

Mensaje enviado al C2 tras la infección

Si eres un usuario de dispositivos NAS de Zyxel, actualiza tu dispositivo lo antes posibles para estar protegido frente a este tipo de ataques.

Más información:

Fuente: https://unit42.paloaltonetworks.com/new-mirai-variant-mukashi/

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Libros recomendados

Sinfonier

Machine Learning aplicado a Ciberseguridad

Archivado en: Malware, Vulnerabilidades Etiquetado con: cve, exploit, malware, mirai, mukashi

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

UADCAST

Populares de UAD

  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Recomendaciones básicas para evitar ataques del Ransomware Conti
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000
  • Elevación de privilegios en el kernel Linux

Entradas recientes

  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Empleados de empresas de fusiones y adquisiciones, nuevo «target» de los Ciberdelincuentes.
  • Múltiples vulnerabilidades críticas en routers de InHand Networks
  • Recomendaciones básicas para evitar ataques del Ransomware Conti
  • El CERT ucraniano advierte a los ciudadanos sobre una nueva ola de ataques que distribuyen el malware «Jester»
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

Una al Día

Una Al Día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Empleados de empresas de fusiones y adquisiciones, nuevo «target» de los Ciberdelincuentes.
  • Múltiples vulnerabilidades críticas en routers de InHand Networks

Etiquetas

0-day Android Apple Chrome Ciberataque cve D-Link Facebook Google iOS leak linux malware Microsoft Mozilla OpenSSL Oracle OS X Phishing PHP ransomware rce vulnerabilidad vulnerabilidades Windows WordPress

Copyright © 2022 · Hispasec

 

Cargando comentarios...