Más de un millón de dispositivos IoT infectados por Botnet

Más de un millón de usuarios conectado a la red con cámaras de vídeo y DVR han sido comprometidos por creadores de botnets que utilizan estos dispositivos para realizar ataques de DDoS. Según el laboratorio de investigación de Level3, una pequeña familia de malware denominados Lizkebab, BASHLITE, Torlus y Gafgyt han construído una gran botnet que está siendo utilizada para llevar a cabo los ataques.

Según los investigadores, esta semana la botnet creada por BASHLITE varió considerablemente su tamaño. En julio, sólo estaba ligada a 74 bots pero más tarde, los investigadores observaron comunicación con más de 120.000 equipos infectados. El análisis del malware condujo a una gran botnet con cerca de 100 servidores de comando y control (C&C) y excedió los 100 ataques de DDoS en un día aunque el 75% de los mismos no superaban los cinco minutos de duración.

Detrás del malware están los grupos Lizard Squad y Poodle Corp que se están dirigiendo cada vez más a los dispositivos IoT para crear botnets y realizar ataques de DDoS. "Después de ganar acceso al dispositivo, estas herramientas no se molestan en identificar la arquitectura del dispositivo que han comprometido. Por el contrario, inmediatamente ejecutan comandos 'busybox wget' y 'wget' para recuperar los payloads de los bot de DDoS. Luego simplemente intentan ejecutar múltiples versiones del malware compilado para diferentes arquitecturas, hasta que uno se ejecuta"


Del millón de dispositivos infectados, el 96 por ciento eran dispositivos de IoT -de los cuales 95 por ciento eran cámaras y DVR-, aproximadamente 4 por ciento eran routers caseros y menos del 1 por ciento estaban vinculado a servidores Linux. Muchos estaban configurados con telnet e interfaces web habilitadas que utilizan credenciales predeterminadas.

La mayoría de los equipos infectados se encuentra en Taiwán, Brasil y Colombia. Uno de los tres proveedores señalado en el informe es Dahua Technology y la firma afirmó que ya está preparando un parche para el error.

Fuente: ThreatPost