Cómo proteger su enrutador contra los ataques de la red de bots Mirai

Una estrategia utilizada por los atacantes malintencionados para escalar sus ciberataques es el uso de botnets.

Una botnet es una red de computadoras que han sido infectadas con malware y son controladas de forma remota por un actor malicioso. Este actor malicioso que controla un grupo de computadoras infectadas se denomina pastor de bots. Los dispositivos infectados individuales se denominan bots.

Los pastores de bots comandan y controlan el grupo de computadoras infectadas, lo que les permite llevar a cabo ataques cibernéticos a una escala mucho mayor. Los botnets se han utilizado ampliamente en la denegación de servicio a gran escala, el phishing, los ataques de spam y el robo de datos.

Un ejemplo de malware que desde entonces ha ganado notoriedad por secuestrar dispositivos digitales para crear botnets muy grandes es el malware Mirai Botnet. Mirai es una red de bots de malware que ataca y explota vulnerabilidades en dispositivos de Internet de las cosas (IoT) que ejecutan Linux.

Tras la infección, Mirai secuestra el dispositivo IoT y lo convierte en un bot controlado de forma remota que puede usarse como parte de una red de bots para lanzar ciberataques masivos. Mirai fue escrito en C y GO.

El malware saltó a la fama en 2016 cuando se utilizó en un ataque de denegación de servicio distribuido (DDOS) contra DYN, un proveedor de sistemas de nombres de dominio. El ataque impidió que los usuarios de Internet accedieran a sitios como Airbnb, Amazon, Twitter, Reddit, Paypal y Visa, entre otros.

El malware Mirai también fue responsable de los ataques DDOS en el sitio de ciberseguridad Krebs on Security y la empresa francesa de computación en la nube OVHCloud.

Cómo se creó Mirai

El malware Mirai fue escrito por Paras Jha y Josiah White, quienes en ese momento eran estudiantes universitarios veinteañeros y también los fundadores de ProTraf Solutions, una empresa que ofrecía servicios de mitigación de DDOS. Mirai Malware se escribió utilizando los lenguajes de programación C y Go.

Inicialmente, su objetivo para Mirai era acabar con los servidores de Minecraft de la competencia mediante ataques DDOS para poder atraer a más clientes eliminando a la competencia.

Su uso para Mirai luego cambió a la extorsión y el crimen organizado. El dúo lanzaba ataques DDOS a las empresas y luego se comunicaba con las empresas que habían atacado para ofrecer mitigaciones DDOS.

Mirai Botnet llamó la atención de las autoridades y de la comunidad de ciberseguridad después de que se utilizó para derribar el sitio web Krebs on Security y su ataque a OVH. Cuando Mirai Botnet comenzó a aparecer en los titulares, los creadores filtraron el código fuente a Mirai Botnet en un foro de piratería disponible públicamente.

Este fue probablemente un intento de cubrir sus huellas y evitar ser considerado responsable de los ataques DDOS realizados con Mirai Botnet. El código fuente de Mirai Botnet fue tomado por otros ciberdelincuentes, lo que llevó a la creación de variantes de Mirai Botnet como Okiru, Masuta y Satori, y PureMasuta.

Sin embargo, los creadores de Mirai Botnet fueron capturados más tarde por el FBI. Sin embargo, no fueron encarcelados y recibieron sentencias más leves porque cooperaron con el FBI para capturar a otros ciberdelincuentes y prevenir ataques cibernéticos.

Cómo funciona la botnet Mirai

Un ataque de Mirai Botnet implica los siguientes pasos:

1. Mirai Botnet primero escanea las direcciones IP en Internet para identificar los dispositivos IoT que ejecutan Linux en el procesador Arc. Luego identifica y apunta a dispositivos que no están protegidos con contraseña o usan credenciales predeterminadas.
2. Una vez que identifica los dispositivos vulnerables, Mirai prueba una variedad de credenciales predeterminadas conocidas para intentar obtener acceso a la red del dispositivo. Si el dispositivo utiliza configuraciones predeterminadas o no está protegido con contraseña, Mirai se conecta al dispositivo y lo infecta.
3. Mirai Botnet luego escanea el dispositivo para determinar si ha sido infectado con otro malware. De lo contrario, elimina todo el resto del malware para que sea el único malware en el dispositivo, lo que le otorga más control sobre el dispositivo.
4. Un dispositivo infectado con Mirai pasa a formar parte de Mirai Botnet y puede controlarse de forma remota desde un servidor central. Tal dispositivo simplemente espera comandos del servidor central.
5. Luego, los dispositivos infectados se usan para infectar otros dispositivos o se usan como parte de una botnet para llevar a cabo ataques DDOS a gran escala en sitios web, servidores, redes u otros recursos accesibles por Internet.

Cabe señalar que Mirai Botnet vino con rangos de direcciones IP que no apuntó ni infectó. Esto incluye redes privadas y direcciones IP asignadas al Departamento de Defensa de los Estados Unidos y al Servicio Postal de los Estados Unidos.

Tipos de dispositivos a los que apunta Mirai Botnet

El objetivo principal de Mirai Botnet son los dispositivos IoT que utilizan procesadores ARC. Según Paras Jha, uno de los autores del bot Mirai, la mayoría de los dispositivos IoT infectados y utilizados por Mirai Botnet eran enrutadores.

Sin embargo, la lista de posibles víctimas de Mirai Botnet incluye otros dispositivos IoT que utilizan procesadores ARC.

Esto podría incluir dispositivos domésticos inteligentes como cámaras de seguridad, monitores para bebés, termostatos y televisores inteligentes, dispositivos portátiles como rastreadores de actividad física y relojes, y dispositivos médicos de IoT como monitores de glucosa y bombas de insulina. Los dispositivos IoT industriales y los dispositivos IoT médicos que utilizan procesadores ARC también pueden ser víctimas de la botnet Mirai.

Cómo detectar una infección de botnet Mirai

Mirai Botnet está diseñado para ser sigiloso en su ataque y, por lo tanto, detectar que su dispositivo IoT está infectado con Mirai Botnet no es una tarea fácil. Sin embargo, no son fáciles de detectar. Sin embargo, busque los siguientes indicadores que podrían indicar una posible infección de Mirai Botnet en su dispositivo IoT:

• Conexión a internet lenta – La botnet Mirai puede ralentizar su conexión a Internet ya que sus dispositivos IoT se utilizan para lanzar ataques DDOS.
• Tráfico de red inusual – Si monitorea regularmente la actividad de su red, puede notar un aumento repentino en el tráfico de la red o solicitudes enviadas a direcciones IP desconocidas
• Rendimiento reducido del dispositivo – Su dispositivo IoT funciona de manera subóptima o muestra un comportamiento inusual, como apagarse o reiniciarse, podría ser un indicador de una posible infección de Mirai.
• Cambios en las configuraciones del dispositivo – Mirai Botnet puede realizar cambios en las configuraciones o configuraciones predeterminadas de sus dispositivos IoT para que los dispositivos sean más fáciles de operar y controlar en el futuro. Si observa cambios en las configuraciones de sus dispositivos IoT y no es responsable de ellos, esto podría indicar una posible infección de Mirai Botnet.

Aunque hay señales que puede observar para saber si su dispositivo ha sido infectado, a veces es posible que no las note fácilmente solo porque Mirai Botnet está diseñado de tal manera que es muy difícil de detectar. Por lo tanto, la mejor manera de lidiar con esto es evitar que Mirai Botnet infecte sus dispositivos IoT.

Sin embargo, si sospecha que se ha detectado un dispositivo IoT, desconéctelo de la red y vuelva a conectar el dispositivo solo después de que se haya eliminado la amenaza.

Cómo proteger sus dispositivos de la infección Mirai Botnet

La estrategia clave de Mirai Botnet para infectar dispositivos IoT es probar un conjunto de configuraciones predeterminadas bien conocidas para ver si los usuarios aún usan las configuraciones predeterminadas.

Si es así, Mirai se conecta e infecta los dispositivos. Por lo tanto, un paso importante para proteger sus dispositivos IoT de Mirai Botnet es evitar el uso de nombres de usuario y contraseñas predeterminados.

Asegúrese de cambiar sus credenciales y use contraseñas que no se puedan adivinar fácilmente. Incluso puede usar un generador de contraseñas aleatorias para obtener contraseñas únicas que no se pueden adivinar.

También puede actualizar el firmware de su dispositivo regularmente e instalar parches de seguridad cada vez que se publiquen. Las empresas suelen lanzar parches de seguridad en caso de que se descubran vulnerabilidades en sus dispositivos.

Por lo tanto, instalar parches de seguridad cada vez que se publiquen puede ayudarlo a adelantarse a los atacantes. Si su dispositivo IoT tiene acceso remoto, también considere deshabilitarlo, en caso de que no necesite esta función.

Otros pasos que puede tomar incluyen monitorear regularmente la actividad de su red y segmentar su red doméstica para que los dispositivos IoT no estén conectados a redes domésticas críticas.

Conclusión

Aunque los creadores de Mirai Botnet han sido detenidos por las autoridades, el riesgo de infección por Mirai Botnet permanece. El código fuente de Mirai Botnet se ha hecho público, lo que ha llevado a la creación de variantes mortales de Mirai Botnet, que apuntan a dispositivos IoT y tienen más control sobre los dispositivos.

Por lo tanto, al comprar dispositivos IoT, las características de seguridad que ofrece el fabricante del dispositivo deben ser una consideración clave. Compre dispositivos IoT con funciones de seguridad que eviten posibles infecciones de malware.

Además, evite usar configuraciones predeterminadas en sus dispositivos y actualice regularmente el firmware de su dispositivo e instale todos los parches de seguridad más recientes cada vez que se publiquen.

También puede explorar las mejores herramientas de EDR para detectar y responder rápidamente a los ciberataques.