Una nueva botnet denominada Pumabot ha comenzado a atacar dispositivos integrados de Internet de las cosas (IoT) que utilizan el sistema operativo Linux. Esta amenaza se está utilizando para realizar ataques de fuerza bruta contra instancias SSH, con la intención de expandirse y entregar malware adicional a los hosts infectados.
Acceso inicial mediante credenciales SSH
El malware Pumabot obtiene el acceso inicial a través de credenciales SSH y una lista de direcciones IP con puertos SSH abiertos. La lista de direcciones IP objetivo se recupera de un servidor externo («ssh.ddos-cc[.]org»). El malware no escanea Internet, sino que recupera la lista de objetivos del servidor de control (C2) y realiza intentos de fuerza bruta con credenciales SSH.
Estructura y funcionamiento del malware
Escrito en GO, el malware Pumabot está diseñado para realizar ataques de fuerza bruta contra instancias SSH. Al obtener acceso, recibe comandos remotos y establece persistencia utilizando archivos del sistema.
Verificaciones y exclusión específica
Como parte de sus intentos de fuerza bruta, el malware realiza varias comprobaciones para determinar si el sistema es adecuado y no es un honeypot. Además, verifica la presencia de la cadena «Pumatronix», un fabricante de sistemas de vigilancia y cámaras de tráfico. Esto sugiere que el malware intenta destacar dispositivos específicos o excluirlos.
Exfiltración de datos y persistencia
El malware recopila y exfra la información básica del sistema al servidor C2, después de lo cual establece la persistencia y ejecuta los comandos recibidos del servidor. Se escribe a /lib/redis, intentando disfrazarse como un archivo de sistema Redis legítimo.
Creación de servicios persistentes
Luego crea un servicio de Systemd persistente en /etc/systemd/system, llamado «Redis.Service» o «mysqI.service» (MySQL pero con I mayúscula), dependiendo de lo que se haya codificado en el malware. Esto le permite al malware dar la impresión de ser benigno y sobrevivir a los reinicios.
Uso para minería criptográfica
Dos de los comandos ejecutados por la botnet son «XMRIG» y «NetworkXM», lo que indica que los dispositivos comprometidos se están utilizando para minar criptomonedas de manera ilícita. Sin embargo, el análisis no pudo confirmar qué comandos se estaban enviando o recibiendo debido a la inactividad del C2 en el momento.
Conclusión
Darktrace indicó que su análisis descubrió otros binarios relacionados que se implementan como parte de una campaña más amplia. La amenaza representa un nuevo desafío para la seguridad de dispositivos IoT basados en Linux.