Investigadores de ciberseguridad han descubierto una nueva familia de malware de botnet llamada Gorilla (también conocido como GorillaBot) que es una variante del código fuente de la botnet Mirai filtrado.
La empresa de ciberseguridad NSFOCUS, que identificó la actividad el mes pasado, dijo que la botnet “emitió más de 300.000 comandos de ataque, con una densidad de ataque impactante” entre el 4 y el 27 de septiembre de 2024. No menos de 20.000 comandos diseñados para montar denegación de servicio distribuida. En promedio, la botnet ha lanzado ataques (DDoS) todos los días.
Se dice que la botnet se ha dirigido a más de 100 países, atacando universidades, sitios web gubernamentales, telecomunicaciones, bancos, juegos y sectores de apuestas. China, Estados Unidos, Canadá y Alemania se han convertido en los países más atacados.
La compañía con sede en Beijing dijo que Gorilla utiliza principalmente inundación UDP, inundación ACK BYPASS, inundación Valve Source Engine (VSE), inundación SYN y inundación ACK para llevar a cabo ataques DDoS, y agregó que la naturaleza sin conexión del protocolo UDP permite la suplantación de IP de fuente arbitraria. para generar una gran cantidad de tráfico.
Además de admitir múltiples arquitecturas de CPU, como ARM, MIPS, x86_64 y x86, la botnet viene con capacidades para conectarse con uno de los cinco servidores de comando y control (C2) predefinidos para esperar comandos DDoS.
En un giro interesante, el malware también incorpora funciones para explotar una falla de seguridad en Apache Hadoop YARN RPC para lograr la ejecución remota de código. Vale la pena señalar que se ha abusado de esta deficiencia ya en 2021, según Alibaba Cloud y Trend Micro.
La persistencia en el host se logra creando un archivo de servicio llamado custom.service en el directorio “/etc/systemd/system/” y configurándolo para que se ejecute automáticamente cada vez que se inicia el sistema.
El servicio, por su parte, se encarga de descargar y ejecutar un script de shell (“lol.sh”) desde un servidor remoto (“pen.gorillafirewall(.)su”). También se agregan comandos similares a los archivos “/etc/inittab”, “/etc/profile” y “/boot/bootcmd” para descargar y ejecutar el script de shell al iniciar el sistema o iniciar sesión como usuario.
“Introdujo varios métodos de ataque DDoS y utilizó algoritmos de cifrado comúnmente empleados por el grupo Keksec para ocultar información clave, mientras empleaba múltiples técnicas para mantener el control a largo plazo sobre los dispositivos IoT y los hosts de la nube, demostrando un alto nivel de conciencia de contradetección como un familia de botnets emergente”, afirmó NSFOCUS.
