Ha surgido un gusano autopropagable sofisticado que puede comprometer por completo sistemas Linux mediante ataques de fuerza bruta a SSH en solo cuatro segundos.

Esta nueva amenaza combina técnicas tradicionales de relleno de credenciales con verificación de comandos criptográfica moderna, creando una botnet de rápido movimiento que apunta específicamente a dispositivos con mecanismos de autenticación débiles.

El ataque demuestra lo vulnerables que siguen siendo los sistemas cuando se dejan sin cambiar las contraseñas predeterminadas, especialmente en dispositivos del Internet de las Cosas como computadoras Raspberry Pi.

El malware opera con una eficiencia notable, completando todo su ciclo de ataque en cuestión de segundos tras el contacto inicial.

Una vez que un atacante obtiene acceso mediante credenciales débiles, se carga y ejecuta inmediatamente un script bash compacto de solo 4,7 kilobytes. Este script establece múltiples capas de persistencia, elimina procesos de malware competidores y conecta el dispositivo comprometido a la infraestructura de comando y control utilizando redes Internet Relay Chat (IRC).

Investigadores del Internet Storm Center identificaron esta amenaza tras analizar el tráfico capturado por sensores honeypot de DShield desplegados específicamente para detectar ataques basados en SSH.

La investigación reveló que el malware se originó en un dispositivo Raspberry Pi comprometido en Alemania, que a su vez fue víctima de la misma cadena de ataque.

Este patrón de propagación similar a un gusano permite que la botnet se extienda exponencialmente a través de sistemas vulnerables conectados a internet.

El ataque comienza cuando el malware se autentica con éxito utilizando credenciales predeterminadas comunes, apuntando especialmente a dispositivos Raspberry Pi con el nombre de usuario “pi” y contraseñas como “raspberry” o “raspberryraspberry993311”.

Tras obtener acceso, el script crea inmediatamente mecanismos de persistencia mediante la modificación de archivos del sistema y tareas programadas.

Luego elimina procesos asociados a botnets competidoras y mineros de criptomonedas, asegurando el control exclusivo sobre los recursos del sistema.

Verificación avanzada de comandos mediante firmas criptográficas

Lo que distingue a esta amenaza en particular de los gusanos SSH típicos es su implementación de verificación de comandos firmados criptográficamente.

El malware contiene una clave pública RSA integrada que valida todas las instrucciones recibidas del operador de comando y control antes de ejecutarlas. Esta medida de seguridad evita que partes no autorizadas secuestren dispositivos comprometidos dentro de la botnet.

Después de establecer persistencia, el dispositivo comprometido se une a múltiples redes IRC en diferentes ubicaciones geográficas. El bot se conecta a un canal específico llamado “#biret”, donde espera instrucciones adicionales.

Para propagarse aún más, el malware instala herramientas de escaneo como Zmap y sshpass en cada sistema infectado, permitiendo que el gusano realice escaneos rápidos de puertos en 100.000 direcciones IP aleatorias.

Las organizaciones pueden protegerse desactivando la autenticación SSH basada en contraseñas e implementando en su lugar autenticación basada en claves. Otras defensas incluyen eliminar cuentas de usuario predeterminadas en dispositivos Raspberry Pi, desplegar fail2ban para protección contra fuerza bruta y aplicar segmentación de red para aislar dispositivos IoT de la infraestructura crítica.