Una campaña de botnet recientemente identificada está explotando activamente una vulnerabilidad crítica en los grabadores de video digital TBK para desplegar un peligroso malware conocido como Nexcorium, una amenaza basada en Mirai diseñada para lanzar ataques de denegación de servicio distribuidos a gran escala. La vulnerabilidad en el centro de esta campaña, CVE-2024-3721, tiene una puntuación CVSS de 6.3 y afecta al modelo TBK DVR-4104

Una campaña de botnet recién identificada está explotando activamente una vulnerabilidad crítica en los grabadores de vídeo digital TBK para desplegar un peligroso malware conocido como Nexcorium, una amenaza basada en Mirai diseñada para lanzar ataques de denegación de servicio distribuidos (DDoS) a gran escala.

La vulnerabilidad en el centro de esta campaña, CVE-2024-3721, tiene una puntuación CVSS de 6.3 y afecta a los modelos de dispositivos TBK DVR-4104 y DVR-4216, ambos se han convertido en objetivos principales debido a su firmware obsoleto y a las credenciales predeterminadas consistentemente débiles.

Los dispositivos TBK DVR afectados por esta campaña han estado durante mucho tiempo en el radar de los investigadores de seguridad debido a su amplia implementación en pequeñas empresas, puntos de venta minoristas y sistemas de vigilancia donde la aplicación regular de parches rara vez es una prioridad.

Una vez que los atacantes encuentran un dispositivo expuesto, envían una solicitud HTTP especialmente diseñada al punto final vulnerable en /device.rsp?opt=sys&cmd=___S_O_S_T_R_E_A_MAX___, inyectando comandos del sistema operativo sin requerir autenticación.

Este único paso le da al atacante ejecución remota de código en el dispositivo, convirtiendo lo que alguna vez fue un grabador de cámaras de seguridad en un participante involuntario en una red de ataque coordinada.

Los investigadores de Fortinet’s FortiGuard Labs identificaron y analizaron esta campaña en detalle, rastreando toda la cadena de infección desde la explotación inicial hasta la entrega de la carga útil y el establecimiento de persistencia.

Sus hallazgos confirmaron que Nexcorium comparte una arquitectura central con el botnet Mirai original, incluyendo una tabla de configuración codificada con XOR, un módulo de vigilancia que mantiene el malware en ejecución y un módulo de ataque DDoS dedicado listo para inundar objetivos bajo comando.

Fortinet señaló que el malware muestra el mensaje “nexuscorp ha tomado el control” al ejecutarse, una firma deliberada que los actores de la amenaza incorporaron para anunciar su presencia en el dispositivo infectado.

La campaña no se detiene solo en los DVR de TBK. Los investigadores también observaron que Nexcorium apunta a routers Wi-Fi TP-Link al final de su vida útil, explotando CVE-2017-17215 para ampliar el grupo de dispositivos infectados.

Este enfoque de doble objetivo revela una estrategia bien planificada para construir un botnet amplio y mixto atacando hardware que organizaciones y usuarios domésticos probablemente no parchearán ni reemplazarán en el corto plazo.

El alcance combinado de ambos tipos de dispositivos crea una gran infraestructura de ataque distribuida geográficamente que puede dirigirse hacia campañas DDoS a gran escala.

El impacto de este malware va más allá de los dispositivos individuales que infecta. Cada DVR o router comprometido se convierte en un amplificador dentro de una red capaz de generar inundaciones masivas de tráfico contra servicios en línea, empresas e infraestructuras críticas.

Dado que estos dispositivos funcionan de manera continua y están detrás de direcciones IP reales, el tráfico del botnet resultante parece legítimo para muchos sistemas de filtrado, lo que hace que los ataques impulsados por Nexcorium sean más difíciles de bloquear de manera efectiva.

Cómo Nexcorium se instala y evita su eliminación

Una vez que Nexcorium llega a un DVR TBK, su mecanismo de infección sigue una secuencia estructurada diseñada para garantizar que permanezca activo incluso si el dispositivo se reinicia o se interfiere con él.

La explotación inicial de CVE-2024-3721 recupera un script de descarga, que luego identifica la arquitectura del procesador del sistema Linux subyacente y descarga la variante binaria compilada correcta del malware para ese hardware específico.

Nexcorium soporta múltiples arquitecturas de CPU, lo que significa que puede infectar una amplia gama de hardware IoT más allá de los objetivos iniciales sin necesidad de ser reescrito.

Después de desplegar el binario correcto, el malware se incrusta utilizando múltiples métodos de persistencia para garantizar que sobreviva a reinicios y intentos de terminación manual.

Los investigadores de Fortinet observaron que Nexcorium establece un canal de comunicación C2 a través del cual el operador del botnet puede emitir comandos DDoS, monitorear el estado de las víctimas y enviar instrucciones adicionales directamente a los nodos infectados.

El malware refuerza aún más su posición ejecutando un proceso de vigilancia que monitorea continuamente si el proceso principal de la carga útil sigue activo, reiniciándolo automáticamente si algo interrumpe su ejecución.

Una de las características de autoprotección más notables que Fortinet identificó es que Nexcorium utiliza algoritmos de hash FNV-1a para verificar la integridad de su propio binario.

Si el archivo en el disco ha sido alterado o ya no es legible, quizás debido a una eliminación parcial o interferencia de antivirus, el malware se copia dinámicamente bajo un nuevo nombre de archivo para restaurar su propia presencia.

Además de eso, Nexcorium lanza ataques agresivos de fuerza bruta basados en Telnet contra otros dispositivos en la misma red y más allá, utilizando una lista codificada de credenciales predeterminadas comunes para propagarse sin necesidad de entrada adicional del atacante.

Las organizaciones e individuos que utilicen dispositivos TBK DVR-4104 o DVR-4216 deben reemplazarlos inmediatamente con modelos compatibles, ya que el proveedor no ha lanzado un parche para CVE-2024-3721 y estos dispositivos se consideran al final de su vida útil desde el punto de vista de la seguridad.

De manera similar, cualquier router TP-Link que ejecute firmware obsoleto susceptible a CVE-2017-17215 debe ser retirado y reemplazado.

Los administradores también deben asegurarse de que todos los dispositivos IoT expuestos a Internet utilicen contraseñas fuertes y únicas en lugar de las predeterminadas de fábrica, ya que el módulo de fuerza bruta de Nexcorium apunta específicamente a dispositivos que aún usan credenciales comunes.

Se recomienda encarecidamente la segmentación de la red, manteniendo los DVR y el hardware de vigilancia aislados de los sistemas internos críticos para limitar el daño si un dispositivo es comprometido.

Cuando sea posible, deshabilitar el acceso remoto a las interfaces de gestión de DVR que no requieren conectividad externa es una de las formas más efectivas de cerrar la superficie de ataque en la que se basa esta campaña.