La red de bots Mirai continúa generando ataques distribuidos de denegación de servicio (DDoS) de gran escala, según los investigadores. Esta botnet ha logrado mantener su eficacia a pesar de no haber evolucionado significativamente en sus métodos de ataque.
Corero Network Security publicó un informe que analiza las técnicas empleadas por Mirai, destacando que aunque se han generado múltiples variantes del malware, los vectores de ataque principales siguen siendo similares a los originales. El ingeniero de seguridad cibernética Huy Nguyen de Corero Network Security señaló que «lo interesante de Mirai es que sigue siendo efectivo sin haber evolucionado mucho».
El informe destaca que la amenaza persiste debido al creciente número de dispositivos IoT vulnerables conectados a las redes. Aunque ninguna de sus variantes se desvía significativamente de los métodos originales, su capacidad para generar ataques DDoS sigue siendo una preocupación importante.
Los actores con habilidades técnicas limitadas pueden construir botnets Mirai gracias a la filtración del código fuente en 2016. Esto facilita que los atacantes aprovechen dispositivos IoT sin parches, como routers y cámaras IP, para lanzar ataques DDoS.
Métodos de ataque comunes
Los ataques de Mirai se basan en la explotación de vulnerabilidades en dispositivos IoT para convertirlos en zombis que pueden ser controlados por los atacantes. Estos métodos incluyen:
- Inundación UDP: un tipo de ataque que busca saturar el ancho de banda de la víctima.
- Inundación de consultas de Vale Source Engine: aprovecha la consulta estática de TSource Engine como carga útil, enviando tráfico UDP al puerto 27015.
- DNS Water Torture: busca agotar los recursos de un servidor DNS mediante el envío de consultas a resolutores abiertos.
- Inundación UDP optimizada: similar a la inundación UDP, pero con menos opciones y mayor PPS.
- Inundación SYN: aleatoriza varios puertos y es difícil de bloquear para los defensores.
- Inundación ACK: similar a la inundación SYN, pero lleva una carga útil aleatoria.
- Ataque que imita el tráfico normal: utiliza protocolos como STOMP para dificultar la detección por parte de los defensores.
- Inundación GRE: encapsula paquetes IP dentro de paquetes GRE, aleatorizando varios campos y permitiendo un volumen de tráfico alto.
- Inundación HTTP avanzada: permite personalización mediante parámetros de configuración.
Los ataques de Mirai han afectado a grandes organizaciones, incluida la empresa francesa OVH, el gobierno de Liberia y el proveedor de DNS Dyn. Estos ataques han impactado en servicios como Twitter, Reddit, GitHub y CNN.