Botnet Aquabot: otro actor en el panorama de amenazas DDoS

Entendiendo la botnet Aquabot

Aquabot es una botnet construida sobre el framework Mirai , una conocida cepa de malware que se utiliza para tomar el control de dispositivos conectados a Internet con el fin de realizar actividades cibernéticas disruptivas. Desde su aparición a finales de 2023, se la ha identificado como una herramienta diseñada principalmente para ejecutar ataques de denegación de servicio distribuido (DDoS) a gran escala. Recientemente ganó atención por sus intentos de explotar una falla de seguridad en los teléfonos Mitel, con el objetivo de expandir su red de dispositivos comprometidos.

La vulnerabilidad en cuestión, denominada CVE-2024-41710, es un fallo de inyección de comandos en el proceso de arranque de ciertos modelos de teléfonos SIP de Mitel. Si se explota con éxito, otorga a los atacantes la capacidad de ejecutar comandos arbitrarios en los dispositivos afectados, inscribiéndolos efectivamente en la creciente red de Aquabot. A pesar de que Mitel lanzó una solución de seguridad para el problema a mediados de 2024, los atacantes han continuado sus esfuerzos para comprometer los dispositivos que permanecen sin parchear.

El objetivo de Aquabot

El objetivo principal de Aquabot es realizar ataques DDoS. Este tipo de ataques implican sobrecargar redes o servicios específicos con tráfico excesivo, lo que provoca interrupciones y posibles cortes. Los informes sugieren que quienes están detrás de Aquabot pueden estar ofreciendo acceso a esta botnet como servicio, lo que permite a los clientes lanzar sus propios ataques DDoS. La evidencia de tales operaciones ha surgido en Telegram, donde los cibercriminales parecen estar publicitándose bajo alias como Cursinq Firewall, The Eye Services y The Eye Botnet.

Si bien algunas personas afirman que Aquabot se utiliza únicamente con fines educativos o de prueba, un análisis más profundo contradice estas afirmaciones. La infraestructura de la botnet coincide con patrones que suelen asociarse con servicios de ciberataques pagos, lo que refuerza las sospechas sobre su verdadera intención.

Cómo se propaga Aquabot

Las últimas actividades de Aquabot implican la explotación de múltiples vulnerabilidades más allá de la falla del teléfono Mitel. Se ha observado que la botnet apunta a debilidades de seguridad conocidas, incluidas CVE-2018-10561, CVE-2018-10562, CVE-2018-17532, CVE-2022-31137 y CVE-2023-26801, entre otras. Algunas de estas vulnerabilidades afectan a los enrutadores y otro hardware conectado a Internet, lo que permite a Aquabot infiltrarse en dispositivos de un amplio espectro.

Una vez que un dispositivo se ve comprometido, se ejecuta un script para obtener el malware de la botnet. En ataques recientes, se ha observado que Aquabot recupera su carga útil mediante el comando "wget", que le permite descargar e instalar los componentes necesarios para su ejecución.

La última versión de la botnet incluye una función destacada llamada "report_kill", que alerta al servidor de comando y control (C2) cuando un dispositivo infectado recibe una señal de terminación. Aunque no se ha detectado una respuesta inmediata del servidor C2 tras esta notificación, esta función sugiere que se están realizando mejoras en la arquitectura de la botnet. Además, Aquabot intenta evadir la detección cambiando su nombre a "httpd.x86" y terminando procesos específicos que podrían interferir con sus operaciones.

Las implicaciones de la actividad de Aquabot

La continua evolución de las botnets basadas en Mirai, como Aquabot, pone de relieve los persistentes problemas de seguridad asociados a los dispositivos conectados a Internet. Muchos de los dispositivos atacados carecen de medidas de seguridad sólidas, han llegado al final de su vida útil o siguen configurados con credenciales predeterminadas. Esto los convierte en objetivos atractivos para los cibercriminales que buscan construir botnets extensas con un mínimo esfuerzo.

Una preocupación creciente es la posibilidad de que los cibercriminales aprovechen la red de Aquabot para realizar ataques a gran escala contra empresas, gobiernos o infraestructuras críticas. Los ataques DDoS pueden provocar interrupciones del servicio, pérdidas financieras y daños a la reputación, especialmente para las organizaciones que dependen de plataformas en línea. Además, la presencia de un servicio en el mercado negro que venda acceso a Aquabot aumenta la probabilidad de un abuso generalizado, ya que personas con poco conocimiento técnico podrían lanzar sus propios ataques.

El panorama más amplio

La aparición de Aquabot pone de relieve el problema más amplio de la ciberseguridad en el ámbito de la IoT (Internet de las cosas) y los dispositivos en red. Muchos fabricantes siguen priorizando la funcionalidad por sobre la seguridad, lo que deja vulnerabilidades que los atacantes aprovechan rápidamente. Si bien las actualizaciones y los parches de software brindan una defensa contra los ataques conocidos, el desafío sigue siendo garantizar que los usuarios apliquen estas actualizaciones de manera oportuna.

A medida que las botnets continúan evolucionando, los atacantes están refinando sus métodos para mantener la persistencia y evitar ser detectados. La introducción de características como "report_kill" sugiere un cambio hacia tácticas más sofisticadas, lo que podría allanar el camino para variantes aún más sigilosas en el futuro.

Reflexiones finales

Aquabot es otro ejemplo de cómo los actores de amenazas aprovechan las vulnerabilidades existentes para ampliar su alcance. Si bien los esfuerzos por aplicar parches a los dispositivos afectados son cruciales, abordar las causas fundamentales (como las prácticas de seguridad deficientes y el hardware obsoleto) sigue siendo un desafío fundamental. Con los cibercriminales ofreciendo activamente servicios de botnet en plataformas clandestinas, la importancia de contar con medidas de ciberseguridad sólidas nunca ha sido más clara.

Tanto las organizaciones como las personas deben permanecer alertas y asegurarse de que sus dispositivos estén debidamente protegidos contra amenazas emergentes como Aquabot. Las actualizaciones periódicas, las prácticas de autenticación sólidas y el monitoreo de la red son pasos esenciales para mitigar el riesgo que plantean las botnets en el cambiante panorama de la ciberseguridad.