Se ha detectado una nueva variante del malware de la botnet Gafgyt, llamada C0XMO, que se está propagando en dispositivos basados en Linux. Este malware aprovecha una vulnerabilidad de desbordamiento de búfer de pila en el servicio UPnP del firmware de los routers DD-WRT, lo que permite a los atacantes obtener acceso total al sistema sin necesidad de credenciales.

Una variante recién descubierta del malware de la botnet Gafgyt, llamada C0XMO, se ha estado propagando silenciosamente a través de dispositivos basados en Linux, atacando una vulnerabilidad conocida en el firmware de los routers DD-WRT.

El malware explota un fallo de desbordamiento de búfer de pila en el servicio UPnP de los routers afectados, lo que permite a los atacantes obtener acceso total sin necesidad de credenciales. Una vez dentro, trabaja para reclutar activamente el dispositivo comprometido en una red de botnet que crece rápidamente.

Lo que diferencia a C0XMO de las versiones anteriores de Gafgyt es su diseño modular y su capacidad para atacar múltiples arquitecturas de procesadores Linux a la vez.

Los atacantes diseñaron el malware para compilar y entregar cargas útiles específicas para cada arquitectura, dándole un alcance más amplio que la mayoría de las amenazas dirigidas a IoT vistas anteriormente. También incluye scripts de escaneo basados en Python que le ayudan a moverse lateralmente por las redes y localizar nuevos objetivos automáticamente.

Analistas de FortiGuard Labs de Fortinet identificaron y analizaron la variante C0XMO, con un informe compartido con Cyber Security News (CSN).

Según FortiGuard Labs, el malware fue descubierto por primera vez en marzo y desde entonces se ha observado que explota activamente CVE-2021-27137, un desbordamiento de búfer de pila en el servicio UPnP de ciertos firmwares de routers DD-WRT.

El fallo se activa cuando se envía un valor ST:uuid excesivamente grande en una solicitud M-SEARCH manipulada a través del puerto UDP 1900.

Aún se está evaluando el impacto general de C0XMO, pero la amenaza es significativa dado lo ampliamente desplegado que está el firmware DD-WRT en oficinas domésticas y pequeñas empresas de todo el mundo.

Los atacantes no solo se dirigen a los routers; el malware también intenta explotar conexiones expuestas de Android Debug Bridge para tomar el control de dispositivos Android. Este enfoque multiplataforma indica una creciente sofisticación entre los operadores de botnets de IoT.

Más allá de su ruta de ataque principal, C0XMO puede lanzar ataques de denegación de servicio distribuido (DDoS) una vez que el dispositivo ha sido reclutado.

También aprovecha CVE que afectan a dispositivos D-Link, el software del proyecto GLPI y cámaras DVR de Avtech, ampliando considerablemente la superficie de ataque. Los equipos de seguridad que gestionan entornos de dispositivos mixtos deben tratar esta amenaza como activa y persistente.

Nueva variante de Gafgyt ataca múltiples arquitecturas de Linux

Uno de los aspectos técnicamente más notables de C0XMO es cómo separa el movimiento lateral en un script de Python independiente.

Este diseño permite que la botnet escanee y sondee redes independientemente del cuerpo principal del malware, haciéndola más flexible y difícil de detectar. El script identifica los hosts alcanzables y determina la arquitectura del objetivo antes de entregar la carga útil adecuada.

El malware se dirige a una gama de arquitecturas Linux que incluyen ARM, MIPS y x86, cubriendo ampliamente routers, sensores IoT y dispositivos embebidos.

Para cada tipo, descarga y ejecuta el binario compilado correcto, permitiendo que la botnet crezca a través de diferentes hardwares en una sola campaña.

Este diseño modular y multi-arquitectura era anteriormente más común entre actores de amenazas avanzadas, y su presencia en una botnet de IoT marca una clara escalada.

Los investigadores de Fortinet también observaron que el malware se conecta a un servidor de comando y control (C2) después de la infección, esperando órdenes de DDoS y mandatos de expansión.

Los módulos de escaneo se ejecutan continuamente en segundo plano, identificando nuevos dispositivos y enviando los detalles a los operadores. También se notaron intentos de autenticación por fuerza bruta contra servicios alcanzables como parte de su rutina de desplazamiento.

Explotación de CVE conocidos y recomendaciones defensivas

El éxito de C0XMO depende de vulnerabilidades conocidas y sin parchear que han tenido correcciones disponibles durante algún tiempo. El CVE-2021-27137 en DD-WRT, el CVE-2015-2051 en dispositivos D-Link, el CVE-2022-35914 en el software del proyecto GLPI y múltiples fallos en cámaras DVR de Avtech forman parte de su kit de exploits.

La persistencia de estos fallos refleja lo lento que suele ser el proceso de parcheo en el espacio de IoT. Si utilizas dispositivos afectados, debes priorizar las actualizaciones de firmware de inmediato.

Desactivar UPnP en los routers DD-WRT donde no sea necesario elimina el punto de entrada principal del que depende C0XMO. Bloquear el acceso externo al puerto UDP 1900 con reglas de firewall también puede reducir la exposición considerablemente.

Monitorear el tráfico de red es igualmente importante para detectar infecciones tempranas. Conexiones salientes inusuales, picos inesperados de tráfico UDP en el puerto 1900 e intentos de inicio de sesión por fuerza bruta son señales de un posible compromiso.

Tus equipos de seguridad deben centrar su atención en los dispositivos IoT antiguos y no gestionados, que a menudo permanecen sin parchear y son objetivos ideales para campañas como esta.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
CVE	CVE-2021-27137	Desbordamiento de búfer de pila UPnP de DD-WRT mediante solicitud M-SEARCH manipulada sobre puerto UDP 1900
CVE	CVE-2015-2051	Vulnerabilidad de ejecución de comandos HNAP SOAPAction-Header en dispositivos D-Link
CVE	CVE-2022-35914	Vulnerabilidad de inyección de código htmLawedTest.php en GLPI-Project GLPI
CVE	CVE-2016-15047	Exploit de bypass de autenticación y ejecución de comandos en cámaras DVR Avtech
CVE	CVE-2025-34054	Exploit de bypass de autenticación y ejecución de comandos en cámaras DVR Avtech
Dirección IP	216.131.80.130	Servidor C2 utilizado por la botnet C0XMO para comunicación de comando y control
Dirección IP	216.131.80.150	Servidor C2 utilizado por la botnet C0XMO para comunicación de comando y control
Dirección IP	216.131.80.119	Servidor C2 utilizado por la botnet C0XMO para comunicación de comando y control
Dirección IP	216.131.80.119.199.99	Infraestructura C2 asociada observada durante la campaña
Indicador de Red	Puerto UDP 1900	Puerto atacado mediante solicitudes UPnP M-SEARCH manipuladas para la explotación inicial
Protocolo/Servicio	Android Debug Bridge (ADB)	Explotado para comprometer dispositivos Android expuestos como parte de la propagación multiplataforma
Tipo de Archivo	Binario ELF (multi-arch)	Cargas útiles compiladas dirigidas a arquitecturas Linux ARM, MIPS y x86
Script	Script de movimiento lateral Python	Script de Python independiente utilizado para el escaneo de red y la propagación multi-arquitectura

Nota: Las direcciones IP y los dominios han sido intencionalmente desactivados (ej. [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/new-gafgyt-variant-targets-multiple-linux-architectures/