La Oficina Federal de Investigaciones ha revelado que llevó a cabo una operación en marzo para atacar una botnet masiva controlada por la inteligencia rusa. El FBI desmantela la enorme botnet Rusa (GRU) utilizada por el malware Cyclops Blink, antes conocido como VPNFilter que se se atribuye a Sandworm, un grupo que trabaja para el GRU de Rusia, la unidad de inteligencia militar del país.

La operación fue autorizada por los tribunales de California y Pensilvania, lo que permitió al FBI copiar y eliminar el llamado malware Cyclops Blink de sus servidores de comando y control, también conocidos como C2, lo que permitió al FBI cortar las conexiones a miles de dispositivos infectados comprometidos. que estaban recibiendo instrucciones de los servidores.

El Departamento de Justicia anunció la operación de marzo el miércoles y la describió como “exitosa”, pero advirtió que los propietarios de dispositivos aún deben revisar el aviso inicial del 23 de febrero para proteger sus dispositivos comprometidos y evitar la reinfección.

El Departamento de Justicia dijo que desde que surgieron las noticias sobre la creciente amenaza de Cyclops Blink en febrero, los propietarios han asegurado miles de dispositivos comprometidos, pero justificaron su operación ordenada por la corte porque la "mayoría" de los dispositivos infectados todavía estaban comprometidos solo semanas. más tarde a mediados de marzo.

Se cree que Cyclops Blink es el sucesor de VPNFilter, una red de bots que se descuidó en gran medida después de que los investigadores de seguridad la expusieran en 2018 y luego fuera el objetivo de una operación del gobierno de EE. UU. para interrumpir sus servidores de comando y control. Tanto Cyclops Blink como VPNFilter se atribuyen a Sandworm, un grupo de piratas informáticos que trabajan para el GRU de Rusia, la unidad de inteligencia militar del país.

Según el Departamento de Justicia, la orden judicial tuvo el "efecto inmediato de evitar que Sandworm acceda a estos dispositivos C2, lo que interrumpió el control de Sandworm sobre los dispositivos bot infectados controlados por los dispositivos C2 remediados".

“La operación no involucró ninguna comunicación del FBI con dispositivos bot”, dijo el Departamento de Justicia.

Las autoridades de EE. UU. no especularon sobre el objetivo de la botnet Cyclops Blink, pero los investigadores de seguridad dicen que la botnet es capaz de recopilar información y realizar espionaje, lanzando ataques distribuidos de denegación de servicio que sobrecargan sitios web y servidores con tráfico basura, así como ataques destructivos. ataques que inutilizan los dispositivos y provocan interrupciones en el sistema y la red.

Sandworm

Sandworm es particularmente conocido por lanzar ataques disruptivos a lo largo de los años, que incluyen desconectar la red eléctrica ucraniana, usar malware para intentar volar una planta petroquímica saudita y, más recientemente, desplegar un "limpiador" destructivo dirigido a la red satelital Viasat en Ucrania y Europa.

John Hultquist, vicepresidente de análisis de inteligencia de Mandiant, dijo en respuesta a la operación del FBI:

    Sandworm es la principal capacidad de ataque cibernético de Rusia y uno de los actores que más nos ha preocupado a la luz de la invasión. Nos preocupa que puedan usarse para atacar objetivos en Ucrania, pero también nos preocupa que puedan alcanzar objetivos en Occidente en represalia por la presión ejercida sobre Rusia.

En abril pasado, el FBI lanzó la primera operación de este tipo para copiar y eliminar una puerta trasera dejada por espías chinos, que habían pirateado en masa miles de servidores Exchange vulnerables para robar listas de contactos y bandejas de entrada de correo electrónico.

El FBI cierra la botnet "Cyclops Blink" vinculada a Rusia que infectaba miles de dispositivos

El Departamento de Justicia de EE. UU. (DoJ) anunció que neutralizó Cyclops Blink, una botnet modular controlada por un actor de amenazas conocido como Sandworm, que ha sido atribuida a la Dirección Principal de Inteligencia del Estado Mayor General de las Fuerzas Armadas de la Federación Rusa (GRU). ).

Cyclops Blink, que se cree que surgió en junio de 2019, se centró principalmente en los dispositivos de firewall WatchGuard y los routers ASUS, y el grupo Sandworm aprovechó una vulnerabilidad de seguridad previamente identificada en el firmware Firebox de WatchGuard como un vector de acceso inicial.

Un análisis de seguimiento realizado por la firma de ciberseguridad Trend Micro el mes pasado sugirió la posibilidad de que la botnet sea un intento de "construir una infraestructura para nuevos ataques a objetivos de alto valor".

Desde entonces, la compañía revisó sus preguntas frecuentes sobre Cyclops Blink para explicar que la vulnerabilidad en cuestión es CVE-2022-23176 (puntaje CVSS: 8.8), que podría "permitir que un usuario sin privilegios con acceso a la administración de Firebox se autentique en el sistema como administrador". " y obtener acceso remoto no autorizado.

ASUS, por su parte, lanzó parches de firmware a partir del 1 de abril de 2022 para bloquear la amenaza, recomendando a los usuarios actualizar a la última versión.