Investigadores detectaron xlabs_v1, una botnet derivada de Mirai que ataca dispositivos Android e IoT con el servicio ADB expuesto. Este malware se ofrece como un servicio de alquiler para ejecutar ataques DDoS, enfocándose especialmente en servidores de juegos y Minecraft. El sistema clasifica los dispositivos según su ancho de banda para establecer precios y elimina a competidores para maximizar el tráfico generado.





Investigadores de ciberseguridad han expuesto una nueva botnet derivada de Mirai que se identifica a sí misma como xlabs_v1 y se dirige a dispositivos expuestos a internet que ejecutan Android Debug Bridge (ADB) para reclutarlos en una red capaz de llevar a cabo ataques de denegación de servicio distribuido (DDoS).

Hunt.io, que detalló el malware, afirmó que realizó el descubrimiento tras identificar un directorio expuesto en un servidor alojado en los Países Bajos en la dirección IP "176.65.139[.]44" sin requerir ninguna autenticación.

El malware soporta "21 variantes de inundación a través de protocolos TCP, UDP y raw, incluyendo UDP con forma de RakNet y OpenVPN, capaz de evadir la protección DDoS de grado consumidor", señaló Hunt.io, añadiendo que se ofrece como un servicio de DDoS por alquiler diseñado para atacar servidores de juegos y hosts de Minecraft.

Lo que hace notable a xlabs_v1 es que busca dispositivos Android que ejecuten un servicio ADB expuesto en el puerto TCP 5555, lo que significa que cualquier equipo que venga con la herramienta habilitada por defecto, como Android TV boxes, decodificadores y televisores inteligentes, podría ser un objetivo potencial.



Además de un APK de Android ("boot.apk"), el malware soporta compilaciones multi-arquitectura que cubren ARM, MIPS, x86-64 y ARC, lo que indica que también está diseñado para atacar routers residenciales y hardware del internet de las cosas (IoT).

El resultado es una botnet construida específicamente para recibir un comando de ataque desde el panel del operador ("xlabslover[.]lol") y generar una inundación de tráfico basura bajo demanda, dirigiendo específicamente el ataque DDoS contra servidores de juegos.

"El bot es ARMv7 vinculado estáticamente, se ejecuta en firmwares de Android simplificados y se entrega a través de pegados de ADB-shell en /data/local/tmp", explicó Hunt.io. "La lista de cargas útiles de nueve variantes del operador está ajustada para Android TV boxes, decodificadores, smart TVs y hardware ARM de grado IoT que se envía con ADB habilitado".

Existe evidencia que indica que el servicio de DDoS por alquiler presenta precios basados en niveles de ancho de banda. Esta evaluación se basa en la presencia de una rutina de perfilado de ancho de banda que recopila el ancho de banda y la geolocalización de la víctima.

Este componente abre 8,192 sockets TCP paralelos al servidor de Speedtest geográficamente más cercano, los satura durante 10 segundos y reporta la tasa de transferencia de datos medida al panel. El objetivo, señaló Hunt.io, es asignar cada dispositivo comprometido a un nivel de precio para sus clientes remunerados.

Un aspecto importante a notar aquí es que la botnet deja de existir después de enviar la información de ancho de banda en Megabits por segundo (Mbps), lo que significa que el operador debe reinfectar el dispositivo una segunda vez a través del mismo canal de explotación de ADB, dada la ausencia de un mecanismo de persistencia.

"El bot no se escribe a sí mismo en ubicaciones de persistencia de disco, no modifica scripts de inicio, no crea unidades systemd y no registra trabajos cron", dijo Hunt.io. "Este diseño sugiere que el operador ve el sondeo del ancho de banda como una operación de actualización de nivel de flota poco frecuente en lugar de un chequeo previo a cada ataque, y el ciclo resultante de salida y reinfección es la intención del diseño".

xlabs_v1 también cuenta con un subsistema "asesino" para terminar a los competidores y así poder usurpar todo el ancho de banda de subida del dispositivo víctima para sí mismo y usarlo para llevar a cabo el ataque DDoS. Actualmente no se sabe quién está detrás del malware, pero el actor de la amenaza utiliza el alias "Tadashi", como lo demuestra una cadena cifrada en ChaCha20 incrustada en cada compilación del bot.

Análisis adicionales de la infraestructura co-ubicada han descubierto un kit de herramientas de minería de Monero VLTRig en el host 176.65.139[.]42, aunque actualmente no se sabe si los dos conjuntos de actividades son obra del mismo actor de amenazas.



"En términos comercial-criminales, xlabs_v1 es de nivel medio. Es más sofisticado que la típica bifurcación de Mirai de un script-kiddie [...], pero menos sofisticado que el nivel superior de las operaciones comerciales de DDoS por alquiler", dijo Hunt.io. "Este operador compite en precio y variedad de ataques, no en sofisticación técnica. Los dispositivos IoT de consumo, los routers residenciales y los pequeños operadores de servidores de juegos son el objetivo".

Este desarrollo ocurre mientras Darktrace revelaba que una instancia de Jenkins intencionalmente mal configurada en su red honeypot fue blanco de actores de amenazas desconocidos para desplegar una botnet DDoS descargada desde un servidor remoto ("103.177.110[.]202"), mientras tomaba simultáneamente medidas para evadir la detección.

"La presencia de técnicas de DoS específicas para juegos resalta aún más que la industria del juego continúa siendo ampliamente atacada por ciberatacantes", afirmó la empresa en su blog. "Es probable que esta botnet ya haya sido utilizada contra servidores de juegos, sirviendo como recordatorio para que los operadores de servidores se aseguren de que las mitigaciones apropiadas estén en su lugar".

Fuente:
THN