La botnet SOHO vinculada a Volt Typhoon infecta varias agencias gubernamentales de EE. UU.

Los investigadores han descubierto una botnet de Internet de las cosas (IoT) vinculada a ataques contra varias organizaciones gubernamentales y de comunicaciones de Estados Unidos.

La “botnet KV”, revelada en un Informe de Lumens Black Lotus Labsestá diseñado para infectar dispositivos de red de pequeñas oficinas en el hogar (SOHO) desarrollados por al menos cuatro proveedores diferentes. Tiene una serie de mecanismos ocultos y la capacidad de extenderse más a redes de área local (LAN).

Un suscriptor notable es Volt Typhoon Advanced Persistent Threat (también conocido como Bronze Silhouette), el actor de amenazas afiliado al estado chino que acapara titulares y conocido por ataques a infraestructura crítica en los EE. UU. La plataforma parece haber estado involucrada Campañas Volt Typhoon informadas anteriormente contra dos empresas de telecomunicaciones, un proveedor de servicios de Internet (ISP) y una organización del gobierno estadounidense con sede en Guam. Sin embargo, representa solo una parte de la infraestructura de Volt Typhoon y es casi seguro que también lo utilicen otros actores de amenazas.

En la botnet KV

Desde al menos febrero de 2022, la botnet KV ha infectado principalmente enrutadores SOHO, incluidas las líneas de productos Cisco RV320, DrayTek Vigor y Netgear ProSafe. Desde mediados de noviembre, se amplió para incluir el uso de cámaras IP desarrolladas por Axis Communications.

La botnet administrada por direcciones IP en China se puede dividir a grandes rasgos en dos grupos: el grupo “KY”, que incluye ataques manuales contra objetivos de alto valor, y el grupo “JDY”, que incluye ataques más completos y técnicas menos sofisticadas.

La mayoría de las infecciones por botnets KV hasta ahora parecen pertenecer al último grupo. En este contexto, la botnet se ha dirigido a varias organizaciones de alto perfil hasta ahora desconocidas, entre ellas una autoridad judicial, un proveedor de redes de satélite y unidades militares de los Estados Unidos, así como una empresa de energía renovable con sede en Europa.

El programa es quizás más notable por su sigilo avanzado de múltiples capas. Reside completamente en la memoria (aunque, por otro lado, eso significa que se puede iniciar con ella). un simple reinicio del dispositivo). Comprueba y finaliza una serie de procesos y herramientas de seguridad que se ejecutan en el dispositivo infectado, se ejecuta bajo el nombre de un archivo aleatorio que ya está en el dispositivo y genera puertos aleatorios para la comunicación de comando y control (C2), todo en un esfuerzo por evitar la detección.

Sin embargo, los mejores beneficios del sigilo residen, en primer lugar, en los dispositivos que infecta.

La ventaja de una botnet SOHO

Durante un viaje con el grupo en mayo Los investigadores de Microsoft han tomado nota cómo Volt Typhoon enruta todo su tráfico malicioso a través de dispositivos periféricos de la red SOHO: firewalls, enrutadores, hardware VPN. Una razón puede ser que los dispositivos personales son particularmente útiles para ocultar tráfico malicioso, explica Jason Casey, director ejecutivo de Beyond Identity.

“La mayor parte de Internet dedicada a proveedores de infraestructura (AT&T, Amazon AWS, Microsoft, etc.) y empresas es conocida y registrada”, afirma. “Teniendo esto en cuenta, se espera que la mayor parte del tráfico provenga de una dirección residencial en lugar de una infraestructura o una dirección corporativa. Por esta razón, muchas herramientas de seguridad señalan el tráfico como sospechoso si no se origina en una dirección IP residencial”.

Además, añade: “Los electrodomésticos representan una inversión relativamente libre de riesgos, ya que a menudo no están configurados de forma segura (p. ej. La contraseña predeterminada no se cambia) o actualizarse periódicamente, lo que facilita el compromiso. Además, los administradores del hogar casi nunca monitorean sus dispositivos y es posible que no comprendan cómo se ve un compromiso”.

El ancho de banda relativamente alto de los dispositivos SOHO en comparación con su carga de trabajo típica significa que incluso una botnet maliciosa tiene poco impacto que sea perceptible para el usuario promedio. Los investigadores de Lumen también observaron una serie de otros beneficios, como la alta proporción de dispositivos al final de su vida útil que aún funcionan en un estado vulnerable todos los días y la forma en que dichos dispositivos permiten a los atacantes eludir las restricciones de geocerca.

Ninguna función dentro del binario de la botnet KV está diseñada para causar más infecciones en las redes de área local (LAN) más grandes de los objetivos. Sin embargo, los investigadores descubrieron que la botnet permite a los atacantes implementar un shell inverso en los dispositivos infectados, allanando el camino para la ejecución de comandos y códigos arbitrarios o malware adicional para atacar la LAN.

«Dado que estos dispositivos son más fáciles de comprometer, más difíciles de filtrar y menos propensos a ser monitoreados o investigados, representan un activo primordial para un actor de amenazas», concluye Casey.