Un informe de seguridad revela la existencia de una botnet denominada NoaBot, derivada del código de Mirai. Esta red ha sido empleada por actores maliciosos desde los primeros meses de 2023, formando parte de una extensa campaña de minería de criptomonedas.
Metodología de ataque y características técnicas
NoaBot utiliza un escáner SSH para buscar servidores susceptibles a ataques de diccionario. El módulo difusor añade una clave pública SSH en el archivo .ssh/authorized_keys para permitir el acceso remoto.
El malware puede descargar y ejecutar binarios adicionales tras una explotación exitosa o propagarse a nuevas víctimas. Además, hay evidencias que sugieren una posible vinculación de NoaBot con otra campaña de botnets que involucra la familia de malware basada en Rust llamada P2PInfect.
Los atacantes han experimentado con el despliegue de P23Infect en lugar de NoaBot en ataques recientes dirigidos a servidores SSH. La variante de NoaBot no incluye información sobre el grupo de minería o la dirección de la billetera.
Minería ilícita y evasión de detección
El minero ofusca su configuración y utiliza un grupo de minería personalizado para evitar exponer la dirección de la billetera utilizada. Akamai identificó 849 direcciones IP de víctimas distribuidas globalmente hasta la fecha.
Casi el 10% de todos los ataques contra sus honeypots en 2023 corresponden a estas direcciones IP. El método de movimiento lateral del malware es a través de ataques de diccionario de credenciales SSH básicas.
Compilación y detección por antivirus
NoaBot está compilado con uClibc, alterando la forma en que los motores antivirus detectan el malware. Las firmas antivirus de NoaBot son de un escáner SSH o de un troyano genérico.
Mitigaciones recomendadas
- Restringir el acceso SSH a la red a través de internet.
- Utilizar contraseñas fuertes (no predeterminadas o generadas al azar).