Investigadores de ciberseguridad han descubierto una nueva familia de malware botnet llamada Gorilla (también conocida como GorillaBot) que es una variante del código fuente filtrado de la botnet Mirai.
La empresa de ciberseguridad NSFOCUS, que identificó la actividad el mes pasado, afirmó que la botnet «emitió más de 300.000 comandos de ataque, con una densidad de ataque impactante» entre el 4 y el 27 de septiembre de 2024. No menos de 20.000 comandos diseñados para montar ataques de denegación de servicio distribuidos (DDoS) han sido emitidos desde la botnet cada día de media.
Se dice que la botnet se ha dirigido a más de 100 países, atacando universidades, sitios web gubernamentales, telecomunicaciones, bancos y los sectores del juego y las apuestas. China, Estados Unidos, Canadá y Alemania han resultado ser los países más atacados.
La empresa con sede en Pekín afirmó que Gorilla utiliza principalmente UDP flood, ACK BYPASS flood, Valve Source Engine (VSE) flood, SYN flood y ACK flood para llevar a cabo los ataques DDoS, añadiendo que la naturaleza sin conexión del protocolo UDP permite la suplantación arbitraria de la IP de origen para generar una gran cantidad de tráfico.
Además de soportar múltiples arquitecturas de CPU, como ARM, MIPS, x86_64 y x86, la botnet viene con capacidades para conectarse con uno de los cinco servidores de comando y control (C2) predefinidos para esperar comandos DDoS.
En un giro interesante, el malware también incorpora funciones para explotar un fallo de seguridad en Apache Hadoop YARN RPC para lograr la ejecución remota de código. Merece la pena señalar que este fallo ya se utilizó en 2021, según Alibaba Cloud y Trend Micro.
La persistencia en el host se consigue creando un archivo de servicio llamado custom.service en el directorio «/etc/systemd/system/» y configurándolo para que se ejecute automáticamente cada vez que se inicie el sistema.
El servicio, por su parte, se encarga de descargar y ejecutar un script de shell («lol.sh») desde un servidor remoto («pen.gorillafirewall[.]su»). También se añaden comandos similares a los archivos «/etc/inittab», «/etc/profile» y «/boot/bootcmd» para descargar y ejecutar el script de shell al iniciar el sistema o al iniciar sesión el usuario.
«Introdujo varios métodos de ataque DDoS y utilizó algoritmos de cifrado comúnmente empleados por el grupo Keksec para ocultar información clave, mientras empleaba múltiples técnicas para mantener el control a largo plazo sobre dispositivos IoT y hosts en la nube, demostrando un alto nivel de conciencia de contra-detección como una familia de botnet emergente», dijo NSFOCUS.
Fuente: thehackernews