La botnet JDY, vinculada a actores chinos como Volt Typhoon, ha expandido su red de dispositivos IoT y SOHO comprometidos, enfocándose principalmente en infraestructuras militares de EE. UU. A diferencia de otras botnets, JDY se especializa en el reconocimiento rápido y escaneo de vulnerabilidades recién publicadas para facilitar ataques dirigidos. Los expertos recomiendan mantener actualizados los dispositivos de red y restringir las interfaces de administración expuestas para mitigar este riesgo.

La botnet JDY, una red de malware previamente asociada con actores de amenazas chinos como Volt Typhoon, ha ampliado significativamente su alcance de objetivos y esfuerzos de reconocimiento.

Según los investigadores de Black Lotus Labs de Lumen, que han estado monitoreando su actividad, JDY mantiene un fuerte enfoque en los Estados Unidos, donde se encuentran muchos de sus dispositivos comprometidos y donde se dirige intensamente a las redes militares y asociadas.

La firma de seguridad señala que JDY ha crecido de aproximadamente 650 bots activos en enero de 2024 a más de 1,500 dispositivos SOHO e IoT comprometidos en la actualidad.

Aunque las cifras parecen bajas, es importante señalar que JDY no es un marco de explotación ni una botnet DDoS que requiera grandes enjambres para acumular potencia de fuego, sino que es una red distribuida de escaneo y huellas digitales que ayuda a sus operadores a localizar objetivos vulnerables a fallos recién revelados.

"El análisis de esta actividad muestra un enfoque claro en la identificación de infraestructuras vulnerables poco después de la divulgación pública de vulnerabilidades, lo que sugiere que los resultados del reconocimiento son rápidamente operacionalizados por actores de amenazas persistentes avanzadas (APT) vinculados a China", dice el informe de Black Lotus Labs https://www.lumen.com/blog/en-us/expanded-jdy-iot-and-soho-botnet-enables-rapid-vulnerability-exploitation.

"Este enfoque selectivo se ha observado en una gama de sectores, siendo los militares de EE. UU. y las entidades asociadas los más prominentes".

Países más impactados por la botnet jdy

Fuente: Black Lotus Labs

CISA ha advertido previamente sobre el riesgo que los operativos de Volt Typhoon representan para los routers SOHO desprotegidos, instando a los proveedores de dispositivos de red a eliminar las vulnerabilidades en las interfaces de gestión web (WMI) de los routers SOHO durante las fases de diseño y desarrollo.

La botnet JDY está diseñada para realizar descubrimiento de servicios, captura de banners de servicios, recopilación de certificados TLS, huellas digitales de protocolos y reconocimiento centrado en fallos.

Entre los dispositivos comprometidos se encuentran los de Cisco, Araknis, Mimosa Networks, Ubiquiti, DrayTek, Hikvision y Linksys, para arquitecturas MIPS, MIPS64, MIPSEL y MIPSEL64.

Los actores de amenazas son rápidos en atacar vulnerabilidades recién reveladas; los investigadores de Lumen observaron escaneos de JDY dirigidos al CVE-2026-35616 poco después de que Fortinet revelara públicamente el fallo de FortiClient EMS.

Volumen de objetivos de jdy en una fecha específica

Fuente: Black Lotus Labs

Los operadores controlan la botnet a través de servicios ocultos de Tor, que también sirven como infraestructura de comando y control (C2). En algunos casos también se utiliza Platypus, un marco de gestión de hosts y reverse-shell de código abierto.

Visión general de la red jdy

Fuente: Black Lotus Labs

El malware se registra en un "Servicio de Despacho" central y recibe asignaciones de escaneo, que ejecuta, comprime los resultados y los envía de vuelta al C2.

El módulo de escaneo admite lo siguiente:

* Escaneo TCP
* Escaneo SSL/TLS
* Escaneo UDP
* Sondeo ICMP
* Recopilación de banners
* Recolección de certificados TLS
* Huellas digitales de servicios mediante conjuntos de reglas descargables

El cliente de la botnet repite el mismo ciclo hasta que el operador le ordene específicamente que se detenga.

La función de escaneo TCP es una de las más interesantes técnicamente, según los investigadores, explicando que, cuando JDY tiene privilegios suficientes, realiza un escaneo SYN raw mucho más rápido y sigiloso.

"Si el malware puede abrir un socket raw, lo que generalmente requiere privilegios de root o administrador, inicia un escaneo SYN de alta velocidad utilizando paquetes TCP creados a medida", explica el informe.

"Estos paquetes personalizados utilizan un puerto de origen fijo de 19000, incrementan los puertos de destino uno a uno y procesan por lotes miles de objetivos de escaneo".

Fragmento de código que maneja el escaneo syn raw

Fuente: Black Lotus Labs

A medida que aumenta la actividad de la botnet JDY, las organizaciones deben asegurarse de que los routers, firewalls y dispositivos IoT tengan las últimas actualizaciones de seguridad y parches para evitar que sean reclutados en redes de reconocimiento.

Los defensores también deben reducir su superficie de ataque externa desactivando las interfaces administrativas expuestas a internet innecesarias, restringiendo el acceso de gestión remota, reemplazando las credenciales predeterminadas y monitoreando cualquier actividad de escaneo saliente inusual originada en los dispositivos perimetrales.

Fuente:
BleepingComputer