Raptor Train: la botnet que ataca tus dispositivos cotidianos

Las redes de bots se están volviendo cada vez más sofisticadas y peligrosas. Una de las infecciones más alarmantes es la red de bots Raptor Train. Esta vasta red de dispositivos de pequeñas oficinas y hogares (SOHO) y de Internet de las cosas (IoT) secuestrados, que surgió silenciosamente en 2020, ha sido vinculada a un actor amenazante de un estado-nación chino, Flax Typhoon. Raptor Train, que opera de manera sigilosa, no solo ha logrado comprometer cientos de miles de dispositivos, sino que también se ha convertido en una de las redes de bots más poderosas y persistentes de los últimos tiempos.

¿Qué es la botnet Raptor Train?

Raptor Train es una botnet, una red de dispositivos infectados conectados a Internet y controlados por un operador malicioso. Estos dispositivos, principalmente enrutadores, cámaras IP, grabadoras de video digital y servidores de almacenamiento conectados a la red (NAS), pertenecen a personas y empresas comunes. Sin embargo, sin que sus propietarios lo sepan, han sido reclutados para formar parte de un vasto ejército digital.

A diferencia del malware tradicional, Raptor Train ataca tipos específicos de dispositivos vulnerables que se utilizan normalmente en hogares o pequeñas oficinas. Entre ellos se incluyen productos de fabricantes conocidos como TP-Link, Asus, Synology y Hikvision. La infraestructura de la botnet está diseñada para mantener el control sobre estos dispositivos, con una arquitectura que abarca tres niveles.

1. El nivel 1 está formado por los dispositivos IoT infectados.
2. El nivel 2 es responsable de enviar comandos y desplegar nuevas infecciones.
3. El nivel 3 , administrado por un sistema centralizado conocido como Sparrow, emite instrucciones y rastrea todas las operaciones de la red.

Desde 2020, Raptor Train ha ampliado continuamente su alcance. En junio de 2023, más de 60.000 dispositivos estaban infectados de forma activa, y más de 200.000 de ellos habían sido atacados desde su creación. Lo que hace que esta botnet sea particularmente formidable es su capacidad de volver a infectar dispositivos incluso después de que se reinician o se limpian temporalmente, lo que la hace extremadamente resistente.

¿Qué hace el tren Raptor?

La función principal de Raptor Train es actuar como un ejército digital silencioso, disponible para diversas tareas maliciosas, que pueden ir desde ataques de denegación de servicio distribuido (DDoS) hasta robo de datos y espionaje. Aunque hasta ahora no se han confirmado ataques DDoS de esta botnet, su potencial es alarmante. La gran escala de la red, combinada con su capacidad para emitir comandos, ejecutar archivos y transferir datos, la convierte en una herramienta peligrosa para cualquier actor que pretenda interrumpir o espiar a objetivos específicos.

Los investigadores han descubierto que la botnet se ha utilizado en varias campañas a lo largo de los años. Cada campaña empleaba dominios diferentes y apuntaba a varios dispositivos, evolucionando para mantenerse por delante de los esfuerzos de detección. Una campaña reciente, cuyo nombre en código era "Oriole", se extendió tanto que algunos de sus dominios se incluyeron en listas de dominios de alto tráfico, lo que dificultaba su bloqueo por parte de las herramientas de seguridad.

Se cree que Raptor Train se ha utilizado para espionaje, en sectores como la defensa, la educación y las telecomunicaciones. Sus operadores han demostrado una capacidad para buscar vulnerabilidades y explotar fallos conocidos en el software, lo que podría dar lugar a accesos no autorizados o filtraciones de datos.

¿Cómo puedes evitar el tren Raptor?

La buena noticia es que, si bien Raptor Train es sofisticado, existen formas de proteger sus dispositivos para que no sean reclutados por esta botnet. A continuación, se indican algunos pasos esenciales para defenderse de esta creciente amenaza:

1. Actualice sus dispositivos periódicamente : una de las principales razones por las que Raptor Train ha tenido tanto éxito es que muchos dispositivos IoT no reciben parches y ejecutan software obsoleto. Asegúrese de actualizar periódicamente sus enrutadores, cámaras y otros dispositivos conectados para garantizar que tengan los parches de seguridad más recientes.

2. Cambie las contraseñas predeterminadas : la mayoría de los dispositivos IoT vienen con nombres de usuario y contraseñas predeterminados que son fáciles de adivinar para los atacantes. Cámbielos siempre por algo más seguro tan pronto como configure un nuevo dispositivo.

3. Habilite los firewalls y deshabilite las funciones no utilizadas : algunos dispositivos ofrecen funciones que no son necesarias para el uso diario, pero que podrían ser explotadas por piratas informáticos. Revise la configuración de su dispositivo y deshabilite todo lo que no necesite, como el acceso remoto o Universal Plug and Play (UPnP).

4. Supervise la actividad de la red : supervisar la actividad inusual en la red de su hogar u oficina puede ayudar a detectar si un dispositivo ha sido atacado. Utilice herramientas como sistemas de detección de intrusiones para supervisar el tráfico.

5. Segmente su red : si es posible, cree redes separadas para sus dispositivos IoT. Por lo tanto, incluso si un dispositivo se ve comprometido, un atacante tendrá más dificultades para obtener acceso a sistemas más críticos, como sus computadoras o servidores de trabajo.

Por qué el Raptor Train es una llamada de atención

Las redes de bots como Raptor Train forman parte de una tendencia más amplia en la guerra cibernética, en la que los dispositivos comunes se utilizan para espiar y perturbar el sistema auspiciados por los estados. Lo que resulta particularmente preocupante es la gran cantidad de dispositivos IoT vulnerables en todo el mundo. A diferencia de las computadoras o los teléfonos inteligentes, muchos de estos dispositivos no reciben actualizaciones de seguridad periódicas, lo que los convierte en objetivos principales para los piratas informáticos.

La botnet Raptor Train pone de relieve la creciente necesidad de contar con medidas de ciberseguridad más sólidas para los dispositivos conectados. Ya se trate de un enrutador en su hogar o una cámara de seguridad en su oficina, estos dispositivos son posibles puertas de entrada para actores maliciosos.

Los expertos en ciberseguridad trabajan continuamente para desmantelar esta botnet, pero mientras existan vulnerabilidades en los dispositivos IoT, Raptor Train y redes similares seguirán siendo una amenaza. A medida que más aspectos de nuestra vida diaria se conectan a Internet, proteger estos dispositivos nunca ha sido más crítico.

En resumen

Raptor Train ejemplifica los riesgos que plantean los dispositivos vulnerables de IoT y SOHO. Si se mantiene la vigilancia, se actualizan los dispositivos periódicamente y se utilizan las mejores prácticas, como la gestión de contraseñas y la segmentación de la red, los usuarios pueden reducir significativamente el riesgo de que se produzcan botnets como este. El panorama de la ciberseguridad seguirá evolucionando, y también debe hacerlo nuestro enfoque para proteger nuestra vida digital.