Os cibercriminosos para obter lucros realizam diferentes tipos de ataques. Os que geralmente relatam os melhores resultados são o ransomware e o Phishing. Às vezes, individualmente ou em grupo, eles geram esse malware com o objetivo de infectar diferentes dispositivos. O que os torna mais eficientes é que eles incluem vulnerabilidades não descobertas em roteadores e outros dispositivos. No entanto, hoje o que aconteceu é que o código-fonte do malware que já existia foi publicado. Neste artigo, veremos como milhões de roteadores e Internet das coisas dispositivos estão sendo comprometidos pelo código-fonte de malware que foi publicado no GitHub.
Milhões de roteadores e outros dispositivos em risco
De acordo com um fornecedor de segurança, ” BotenaGo ” contém explora mais de 30 vulnerabilidades em produtos de vários fornecedores e é usado para espalhar o malware Mirai botnet. Os autores desse malware perigoso direcionado a milhões de roteadores e dispositivos da Internet das Coisas (IoT) enviaram seu código-fonte para o GitHub. Isso significa que outros criminosos agora podem gerar rapidamente novas variantes da ferramenta ou usá-la como está agora para executar suas campanhas. Você pode estar interessado em saber se seu IP faz parte de um botnet e como evitá-lo.
Pesquisadores da AT&T Alien Labs foram os primeiros a identificar esse malware e o chamaram de BotenaGo. Este malware está escrito em Go, uma linguagem de programação que se tornou bastante popular entre os criminosos cibernéticos. Neste caso vem repleto de exploits para mais de 30 vulnerabilidades que afetam muitas marcas , incluindo Linksys, D-Link, NETGEAR e ZTE.
Como esse malware funciona
Quanto ao BotenaGo, ele foi projetado para executar comandos shell remotos em sistemas onde uma vulnerabilidade foi explorada com sucesso. No ano passado um Análise da AT&T Alien Labs primeiro descobriu que o malware BotenaGo usava dois métodos diferentes para receber comandos para atacar as vítimas. Esses dois procedimentos consistem em:
- Eles usaram dois backdoors para ouvir e receber os endereços IP dos dispositivos de destino.
- Eles configuram um ouvinte para entrada do usuário de E/S do sistema e recebem informações de destino por meio dele.
Esses pesquisadores também descobriram que o malware é projetado para receber comandos de um servidor remoto, não possui nenhum comando ativo e comunicação de controle. Assim, eles presumiram que o BotenaGo fazia parte de um pacote de malware maior e provavelmente uma das várias ferramentas usadas em um ataque. Além disso, os links de carga útil foram semelhantes aos usados pelo malware Mirai botnet. A partir disso, pode-se deduzir que o BotenaGo é provavelmente uma nova ferramenta das operadoras Mirai.
Dispositivos IoT e milhões de roteadores afetados
As razões pelas quais o Código fonte do BotenaGo foi lançado via GitHub não são claros. No entanto, as possíveis consequências podem ser estimadas. O publicação do código-fonte pode aumentar muito as variantes do BotenaGo . A razão é que outros autores de malware usam e adaptam o código-fonte para seus propósitos específicos e campanhas de ataque. Sem dúvida, isso fará com que milhões de roteadores e dispositivos IoT sejam afetados. As marcas afetadas terão que trabalhar duro para corrigir as vulnerabilidades e liberar as atualizações correspondentes o mais rápido possível para proteger esses computadores. Além disso, um dos servidores de carga útil do BotenaGo também está no indicador de lista de comprometimento das vulnerabilidades Log4j recentemente descobertas.
Quanto ao malware BotenaGo, ele consiste em apenas 2,891 linhas de código e pode ser um bom ponto de partida para novas variantes. Além disso, o fato de ele vir repleto de explorações para mais de 30 vulnerabilidades para milhões de roteadores e dispositivos IoT é outro fator que os autores de malware provavelmente acharão atraente. Entre as muitas vulnerabilidades que o BotenaGo pode explorar, encontramos:
- CVE-2015-2051 afetando determinados roteadores Wi-Fi D-Link.
- CVE-2016-1555 afetando os produtos Netgear,
- CVE-2013-3307 em dispositivos Linksys.
- CVE-2014-2321 afetando determinados modems a cabo ZTE.
Por fim, um fato preocupante é que, de acordo com a AT&T Alien Labs, apenas três dos 60 antivírus VirusTotal atualmente são capazes de detectar esse malware.
