Microsoft ha revelado cómo el botnet troyano Trickbot ha estado utilizando enrutadores MikroTik comprometidos para comunicaciones sigilosas con PC infectadas.
Trickbot, conocido por robar credenciales bancarias y entregar ransomware, parecía imparable una vez. Continuó prosperando a pesar de un esfuerzo liderado por Microsoft en 2020 para parchear millones de PC infectadas y eliminar la mayoría de sus servidores de comando y control (C2), con la excepción de sus dispositivos C2 de Internet de las cosas (IoT), hasta que finalmente cerró. hacia abajo a principios de este año.
Ahora, Microsoft ha completado un detalle sobre cómo los dispositivos IoT C2 de la pandilla TrickBot, es decir, los enrutadores MikroTik comprometidos, se estaban utilizando desde 2018 para la comunicación sigilosa con las PC infectadas.
VER: Ciberseguridad: pongámonos tácticos (Informe especial de MarketingyPublicidad.es)
En 2018, cuando muchos piratas informáticos apuntaban a CVE-2018-14847 en el software RouterOS de MikroTik, los investigadores de seguridad descubrieron que Tickbot estaba usando enrutadores MikroTik comprometidos para la infraestructura C2.
Los enrutadores son una herramienta útil de C2, ya que permiten la comunicación entre C2 y las PC infectadas con Trickbot de una manera que las defensas estándar no pueden detectar. Los investigadores de seguridad de Microsoft dicen que ahora han aclarado exactamente cómo se usaban los dispositivos en su infraestructura.
Después de obtener el control del enrutador a través de una contraseña comprometida, Trickbot usó el shell SSH de RouterOS para crear un conjunto de comandos que RouterOS entiende pero que no tienen sentido en los shells normales basados en Linux. SSH está destinado a permitir comunicaciones de red seguras a través de una red no segura. El objetivo final era redirigir el tráfico del enrutador comprometido.
Este comando creó una nueva regla de red que redirigió el tráfico del dispositivo infectado a un servidor y el tráfico redirigido se recibió desde el puerto 449 y se redirigió al puerto 80, explica Microsoft.
«Dicho comando es un comando legítimo de traducción de direcciones de red (NAT) que permite que el enrutador NAT realice la reescritura de direcciones IP. En este caso, se está utilizando para actividades maliciosas. Trickbot es conocido por usar los puertos 443 y 449, y estábamos pudo verificar que algunos servidores de destino se identificaron como servidores TrickBot C2 en el pasado», agrega Microsoft.
«A medida que las soluciones de seguridad para los dispositivos informáticos convencionales continúan evolucionando y mejorando, los atacantes explorarán formas alternativas de comprometer las redes de destino. Los intentos de ataque contra los enrutadores y otros dispositivos IoT no son nuevos y, al no administrarse, pueden convertirse fácilmente en los eslabones más débiles de la red. Por lo tanto, las organizaciones también deben considerar estos dispositivos al implementar políticas de seguridad y mejores prácticas”, dijo Microsoft. Ha incluido detalles sobre cómo averiguar si sus enrutadores se han visto afectados.
A pesar de la notoriedad y durabilidad de Trickbot, los investigadores de Intel 471, que participó en el desmantelamiento de 2020, dijeron que en febrero de este año el malware Trickbot estaba en sus últimas etapas, y los antiguos desarrolladores pasaron a un nuevo malware como BazarLoader y la pandilla de ransomware Conti.
«Intel 471 no puede confirmarlo, pero es probable que los operadores de Trickbot hayan eliminado gradualmente el malware Trickbot de sus operaciones a favor de otras plataformas, como Emotet. Trickbot, después de todo, es un malware relativamente antiguo que no se ha actualizado de manera importante. Las tasas de detección son altas y el tráfico de red de la comunicación del bot se reconoce fácilmente», escribieron sus investigadores.
