Los investigadores de Trend Micro descubrieron una nueva hazaña que esencialmente aprovecha el continuo problema de los puertos abiertos que afecta a muchos gadgets de IO al utilizar el puerto TCP 5555 como una forma de difundir la variante Satori de la red de bots Mirai.
Después de notar dos picos de actividad el 9, 10 y 15 de julio, los investigadores descubrieron la hazaña. Los paquetes maliciosos se descargaron utilizando puertos de utilidad abiertos de Android Debug Bridge o ADB después de que la actividad mostrara que el malware esencialmente se escaneaba y luego utilizaba los puertos de utilidad para lograr su misión.
Hay esencialmente 3 etapas del ataque. En primer lugar, se elimina un script shell usando la conexión ADB a través de un puerto 5555 abierto. Esta acción esencialmente descarga la 2ª etapa. Esa etapa incluye 2 scripts de shell más que lanzan la tercera etapa, que es un binario. Los investigadores consideran que alrededor de 48.000 gadgets son vulnerables a estas explotaciones del BAD. Estos incluyen teléfonos móviles y televisores inteligentes ubicados detrás de enrutadores que han sido mal configurados.
Después de borrar su propio archivo de un sistema de archivos, el binario ejecuta numerosas comprobaciones. Si se aprueba, utiliza un determinado nombre de host para resolver la dirección del servidor de C&C a través del servidor DNS de Google. Si las comprobaciones fallan, utiliza una determinada dirección IP cableada para completar el proceso.
Se ejecutan dos procesos más. El primero busca archivos temporales abiertos xig, smi o trinity y los mata si son descubiertos. El otro proceso inicializa el gusano de malware. Según Trend Micro, Smi es un archivo perteneciente a la versión Coinhive que se utiliza en los dispositivos de Amazon que fueron secuestrados.
A continuación, el malware contacta con el servidor de control y comando y recibe otra carga útil que contiene los destinos del malware, así como los tipos de paquetes IP que enviará junto con una lista de direcciones IPv4.
Trend Micro afirma: "El malware envía paquetes IP creados con una carga útil generada aleatoriamente a la lista de ataques obtenida, posiblemente como parte de un ataque DDoS".
¿Alguna idea sobre esto? Por favor, déjelos abajo.
