GorillaBot se vuelve loco con 300.000 ciberataques en todo el mundo

Los ataques distribuidos de denegación de servicio (DDoS) que utilizan una nueva variante de Mirai llamada GorillaBot aumentaron el mes pasado, lanzando 300.000 ataques que afectaron a alrededor de 20.000 organizaciones en todo el mundo, incluidas casi 4.000 solo en los EE. UU.

En el 41% de los ataques, el actor de la amenaza intentó abrumar la red objetivo con una avalancha de ataques. Protocolo de datagramas de usuario (UDP), que son esencialmente unidades de datos livianas y sin conexión comúnmente asociadas con juegos, transmisión de video y otras aplicaciones. Casi una cuarta parte de los ataques de GorillaBot fueron Inundación de derivación de TCP ACK Ataques en los que el objetivo del atacante era inundar el objetivo (a menudo solo un puerto) con una gran cantidad de paquetes de reconocimiento TCP (ACK) falsificados.

GorillaBot, la última variante de Mirai

«Este troyano es una modificación de la familia Mirai y admite arquitecturas como ARM, MIPS, x86_64 y x86», investigadores de NSFocus dijo en un informe la semana pasadadespués de que se observara al actor de amenazas detrás de GorillaBot lanzando su ola masiva de ataques entre el 4 y el 27 de septiembre. «El módulo de análisis de comandos y paquetes en línea reutiliza el código fuente de Mirai, pero deja un mensaje firmado que dice: ‘La botnet Gorilla está en funcionamiento’. Dispositivo, no eres un gato, vete [sic],’ así que llamamos a esta familia GorillaBot”.

NSFocus dijo que observó que el controlador de la botnet utilizaba cinco servidores de comando y control (C2) integrados en GorillaBot para emitir una cadencia constante de comandos de ataque a lo largo del día. En su apogeo, los escuadrones de asalto llegaron a 20.000 en un solo día. En total, los ataques se dirigieron a organizaciones en 113 países, siendo China la más afectada, seguida de Estados Unidos, Canadá y Alemania (en ese orden).

Relacionado:Confidencial de lectura oscura: conozca a los negociadores de ransomware

Aunque GorillaBot se basa en el código Mirai, ofrece muchos más métodos de ataque DDoS: 19 en total. Los métodos de ataque disponibles en GorillaBot incluyen inundaciones DDoS a través de paquetes UDP y paquetes TCP syn y ACK. Semejante Ataques multivectoriales Esto puede ser un desafío para las organizaciones objetivo, ya que cada vector a menudo requiere un enfoque diferente para la mitigación de riesgos.

Por ejemplo, Mitigar ataques volumétricos como inundaciones UDP A menudo implica limitar la velocidad o la cantidad de paquetes UDP de una sola fuente, bloquear el tráfico UDP a puertos no utilizados y distribuir el tráfico de ataque entre múltiples servidores para mitigar el impacto. Protección contra inundaciones SynAck Por otro lado, se trata de utilizar firewalls con estado, cookies SYN y sistemas de detección de intrusiones para rastrear las conexiones TCP y garantizar que solo se procesen paquetes ACK válidos.

Los robots malos van en aumento

El tráfico de datos asociado con los llamados robots malos, como GorillaBot, ha aumentado constantemente en los últimos años y actualmente representa una proporción significativa de todo el tráfico de datos en Internet. Investigador en Imperva analizó recientemente alrededor de 6 billones de solicitudes de bots malos bloqueadas de su red global en 2023 y concluyó que el tráfico de dichos bots representa actualmente el 32% de todo el tráfico en línea, un aumento de casi el 2% con respecto al año pasado. En 2013, cuando Imperva realizó un análisis similar, el proveedor estimó que el tráfico de bots maliciosos representaba el 23,6% y el tráfico humano representaba el 57% del tráfico total.

Relacionado:Los delincuentes están probando sus campañas de ransomware en África

El Informe Bad Bot 2024 de Imperva se centra únicamente en la implementación de robots malos en la capa de aplicación y no específicamente en ataques DDoS volumétricos en protocolos de red de bajo nivel. Pero la empresa ayudó a sus clientes a mitigar el 12,4% de los ataques de bots maliciosos en 2023. fueron ataques DDoS. El proveedor de seguridad señaló que los ataques DoS generalmente han sido los casos de uso más grandes, o uno de los más grandes, de bots malos en algunas industrias, como los juegos y las telecomunicaciones y los sectores de ISP en la atención médica y el comercio minorista. Imperva ha descubierto que los actores de amenazas a menudo tienden a utilizar bots malos para ataques DDoS, donde cualquier tipo de falla o interrupción del sistema puede tener un impacto significativo en las operaciones de una empresa.