La botnet emite cada día no menos de 20.000 comandos
Los investigadores de ciberseguridad han descubierto una nueva familia de malware de botnet llamada Gorilla (también conocido como GorillaBot) que es una variante del código fuente filtrado de la botnet Mirai.
La empresa de ciberseguridad NSFOCUS, que identificó la actividad el mes pasado, dijo que entre el 4 y el 27 de septiembre de 2024 la botnet "emitió más de 300.000 comandos de ataque, con una densidad de ataque impactante". En promedio, la botnet emite cada día no menos de 20.000 comandos diseñados para lanzar ataques distribuidos de denegación de servicio (DDoS).
Se dice que la botnet ha atacado a más de 100 países, universidades, sitios web gubernamentales, telecomunicaciones, bancos, juegos y apuestas. China, Estados Unidos, Canadá y Alemania han sido los países más atacados.
La compañía con sede en Beijing dijo que Gorilla utiliza principalmente inundaciones UDP, inundaciones ACK BYPASS, inundaciones Valve Source Engine (VSE), inundaciones SYN e inundaciones ACK para llevar a cabo los ataques DDoS, y agregó que la naturaleza sin conexión del protocolo UDP permite la suplantación de IP de fuente arbitraria para generar una gran cantidad de tráfico.
Además de soportar múltiples arquitecturas de CPU como ARM, MIPS, x86_64 y x86, la botnet viene con capacidades para conectarse con uno de los cinco servidores de comando y control (C2) predefinidos para esperar comandos DDoS.
En un giro interesante, el malware también incorpora funciones para explotar una falla de seguridad en Apache Hadoop YARN RPC para lograr la ejecución remota de código. Vale la pena señalar que esta deficiencia ha sido objeto de un abuso desde 2021, según Alibaba Cloud y Trend Micro.
La persistencia en el host se logra creando un archivo de servicio llamado custom.service en el directorio "/etc/systemd/system/" y configurándolo para que se ejecute automáticamente cada vez que se inicia el sistema.
El servicio, por su parte, se encarga de descargar y ejecutar un script de shell ("lol.sh") desde un servidor remoto ("pen.gorillafirewall[.]su"). También se agregan comandos similares a los archivos "/etc/inittab", "/etc/profile" y "/boot/bootcmd" para descargar y ejecutar el script de shell al iniciar el sistema o al iniciar sesión el usuario.
"Introdujo varios métodos de ataque DDoS y utilizó algoritmos de cifrado comúnmente empleados por el grupo Keksec para ocultar información clave, al tiempo que empleaba múltiples técnicas para mantener el control a largo plazo sobre los dispositivos IoT y los hosts en la nube, lo que demuestra un alto nivel de conciencia de contradetección como una familia de botnets emergente", dijo NSFOCUS.