Mirai - Historial de revisiones

Fernando.VH: fases especificadas

2026-02-24T17:14:04Z

fases especificadas

← Revisión anterior		Revisión del 17:14 24 feb 2026
Línea 11:		Línea 11:
	== '''Funcionamiento:''' ==		== '''Funcionamiento:''' ==

	~~# '''~~Escaneo de ~~Dispositivos''': Mirai escaneaba continuamente~~ direcciones IP en ~~busca~~ de dispositivos ~~conectados a Internet~~, como cámaras IP, ~~enrutadores~~ y dispositivos IoT, ~~que utilizaban contraseñas por defecto~~ o ~~débiles~~.		=== Fase 1: Escaneo y Reconocimiento (Scanning) ===
	~~# '''Ataques~~ de ~~Fuerza Bruta:''' Una vez identificados los dispositivos vulnerables~~, ~~Mirai realizaba ataques~~ de ~~fuerza bruta para adivinar~~ las credenciales de ~~acceso~~, ~~aprovechando~~ la ~~falta~~ de ~~seguridad~~ en ~~las configuraciones por defecto~~.		El proceso comienza con dispositivos ya infectados (bots) que escanean internet de forma masiva. Estos bots utilizan un escáner SYN (TCP) de alta eficiencia para buscar direcciones IP aleatorias que tengan puertos específicos abiertos, principalmente el puerto 23 (Telnet) y, en algunos casos, el 2323 . Este escaneo es "sin estado", lo que significa que es muy rápido y consume pocos recursos, permitiendo a los bots prospectar grandes cantidades de dispositivos potencialmente vulnerables, como routers, cámaras de seguridad o DVRs .
	~~# '''Incorporación~~ a ~~la Botnet~~:~~''' Después~~ de ~~comprometer un dispositivo~~, ~~Mirai lo incorporaba~~ a ~~su red~~ de bots, ~~aumentando así su poder~~ de ~~ataque.~~
			=== Fase 2: Explotación y Compromiso (Exploitation & Reporting) ===
			Una vez que se descubre un dispositivo con un puerto Telnet abierto, el bot infectado intenta acceder a él mediante un ataque de fuerza bruta. Para ello, utiliza una lista predefinida de aproximadamente 60 credenciales por defecto y débiles comúnmente utilizadas por los fabricantes de dispositivos IoT (por ejemplo, combinaciones como <code>admin/admin</code> o <code>root/12345</code>) .

			Si el intento de inicio de sesión tiene éxito, el bot no infecta el dispositivo inmediatamente. En su lugar, informa de las credenciales (la IP y el par usuario/contraseña) a un servidor de reportes centralizado (Scan Listener) .

			=== Fase 3: Carga e Infección (Loading) ===
			Un componente separado llamado "loader" (cargador) recoge las credenciales reportadas y se encarga de la infección real . Este loader se conecta al dispositivo vulnerable utilizando las credenciales obtenidas y determina la arquitectura del sistema (como ARM, MIPS o x86) para descargar el binario específico del malware Mirai en el dispositivo . Para dispositivos que no tienen comandos como <code>wget</code> o <code>tftp</code>, el loader puede usar un método llamado "echo loading", que consiste en transferir un pequeño programa descargador escribiéndolo directamente en la consola Telnet .

			=== Fase 4: Ejecución y Encubrimiento (Execution & Concealment) ===
			Una vez que el binario se ejecuta en el dispositivo víctima, el malware toma varias medidas para asegurar su control y ocultar su presencia:

			* Ofuscación: El proceso del malware se renombra con un nombre aleatorio (como <code>[huevos]</code> o <code>[kamikaze]</code>) para parecer un proceso más del sistema y no levantar sospechas .
			* Eliminación de Evidencias: El archivo binario descargado se elimina del sistema de archivos, por lo que el malware reside únicamente en la memoria . Un reinicio del dispositivo lo eliminaría temporalmente.
			* Eliminación de la Competencia: El malware busca y termina cualquier proceso asociado a otros malware o servicios que ocupen los puertos Telnet (22/23) para tomar el control total del dispositivo y evitar que otros bots lo reclamen .

			=== Fase 5: Comando y Control (C2) y Ataque ===
			Finalmente, el dispositivo infectado y recién convertido en "bot" se conecta a un servidor de Comando y Control (C&C o C2) . Una vez conectado, el bot queda a la espera de instrucciones. Mientras espera, continúa con la fase de escaneo para encontrar más víctimas, perpetuando el ciclo . Cuando el atacante (Bot Master) envía una orden a través del servidor C2, todos los bots del ejército (la botnet) inician un ataque distribuido de denegación de servicio (DDoS) contra el objetivo designado, saturándolo con tráfico inútil para dejarlo fuera de servicio

	== '''Impacto y Consecuencias:''' ==		== '''Impacto y Consecuencias:''' ==
Línea 27:		Línea 44:


	[[~~Category~~:Familias de malware\|Familias de malware]]		[[index.php?title=Categoría:Familias de malware\|Familias de malware]]

Fernando.VH en 01:17 19 nov 2023

2023-11-19T01:17:16Z

← Revisión anterior		Revisión del 01:17 19 nov 2023
Línea 27:		Línea 27:


	[[Category~~:[[:Categoría~~:Familias de malware\|Familias de malware]]]]		[[Category:Familias de malware\|Familias de malware]]

Fernando.VH: Descripción de Mirai

2023-11-18T00:28:13Z

Descripción de Mirai

Página nueva

'''Mirai fue una botnet''', una red de dispositivos conectados a internet, que se utilizó para llevar a cabo ataques masivos y disruptivos. Su principal enfoque estaba en dispositivos de Internet de las cosas (IoT), como cámaras de seguridad y enrutadores, que a menudo tenían contraseñas débiles o predeterminadas. Mirai escaneaba la web en busca de estos dispositivos vulnerables y los incorporaba a su red, creando así un ejército de bots. Luego, los hackers que controlaban Mirai podían utilizar esta red para lanzar ataques de denegación de servicio distribuidos (DDoS), los cuales abrumaban los servidores y causaban interrupciones en servicios en línea, sitios web y plataformas. Este incidente resaltó la importancia de asegurar adecuadamente los dispositivos IoT para prevenir el abuso de botnets como Mirai.

Nombre del Botnet: Mirai

Tipo de Malware: Botnet

Fecha de Aparición: 2016

Modo de Propagación: Mirai se propagaba principalmente mediante la búsqueda de dispositivos conectados a Internet con contraseñas débiles o predeterminadas. Una vez comprometidos, estos dispositivos se incorporaban a la botnet.

== '''Funcionamiento:''' ==

# '''Escaneo de Dispositivos''': Mirai escaneaba continuamente direcciones IP en busca de dispositivos conectados a Internet, como cámaras IP, enrutadores y dispositivos IoT, que utilizaban contraseñas por defecto o débiles.
# '''Ataques de Fuerza Bruta:''' Una vez identificados los dispositivos vulnerables, Mirai realizaba ataques de fuerza bruta para adivinar las credenciales de acceso, aprovechando la falta de seguridad en las configuraciones por defecto.
# '''Incorporación a la Botnet:''' Después de comprometer un dispositivo, Mirai lo incorporaba a su red de bots, aumentando así su poder de ataque.

== '''Impacto y Consecuencias:''' ==

# '''Ataques de Denegación de Servicio (DDoS):''' Mirai fue especialmente conocido por su capacidad para realizar ataques de denegación de servicio distribuidos (DDoS) a gran escala, utilizando la potencia combinada de los dispositivos infectados.
# '''Caída de Servicios Online:''' Los ataques DDoS lanzados por Mirai tuvieron consecuencias significativas, causando la interrupción de servicios en línea, sitios web y plataformas.
# '''Enfoque en Dispositivos IoT:''' Mirai puso de manifiesto la vulnerabilidad de los dispositivos IoT debido a las prácticas de seguridad insuficientes, subrayando la importancia de asegurar estos dispositivos conectados.

== '''Origen y Motivación:''' ==
Mirai fue creado por un grupo de hackers inicialmente interesados en ganar ventajas en el mundo de los videojuegos en línea mediante ataques DDoS. Sin embargo, la botnet creció rápidamente y se utilizó para realizar ataques a gran escala contra diversas plataformas en línea. La motivación inicial se desvió hacia actividades maliciosas más amplias.

El caso de Mirai destaca la necesidad crítica de asegurar dispositivos IoT mediante la implementación de contraseñas fuertes y actualizaciones de firmware regulares. También resalta la importancia de la colaboración entre fabricantes, proveedores de servicios y usuarios finales para abordar las vulnerabilidades en dispositivos conectados y prevenir futuros ataques DDoS a gran escala.

[[Category:[[:Categoría:Familias de malware|Familias de malware]]]]