Mirai
Mirai fue una botnet, una red de dispositivos conectados a internet, que se utilizó para llevar a cabo ataques masivos y disruptivos. Su principal enfoque estaba en dispositivos de Internet de las cosas (IoT), como cámaras de seguridad y enrutadores, que a menudo tenían contraseñas débiles o predeterminadas. Mirai escaneaba la web en busca de estos dispositivos vulnerables y los incorporaba a su red, creando así un ejército de bots. Luego, los hackers que controlaban Mirai podían utilizar esta red para lanzar ataques de denegación de servicio distribuidos (DDoS), los cuales abrumaban los servidores y causaban interrupciones en servicios en línea, sitios web y plataformas. Este incidente resaltó la importancia de asegurar adecuadamente los dispositivos IoT para prevenir el abuso de botnets como Mirai.
Nombre del Botnet: Mirai
Tipo de Malware: Botnet
Fecha de Aparición: 2016
Modo de Propagación: Mirai se propagaba principalmente mediante la búsqueda de dispositivos conectados a Internet con contraseñas débiles o predeterminadas. Una vez comprometidos, estos dispositivos se incorporaban a la botnet.
Funcionamiento:
Fase 1: Escaneo y Reconocimiento (Scanning)
El proceso comienza con dispositivos ya infectados (bots) que escanean internet de forma masiva. Estos bots utilizan un escáner SYN (TCP) de alta eficiencia para buscar direcciones IP aleatorias que tengan puertos específicos abiertos, principalmente el puerto 23 (Telnet) y, en algunos casos, el 2323 . Este escaneo es "sin estado", lo que significa que es muy rápido y consume pocos recursos, permitiendo a los bots prospectar grandes cantidades de dispositivos potencialmente vulnerables, como routers, cámaras de seguridad o DVRs .
Fase 2: Explotación y Compromiso (Exploitation & Reporting)
Una vez que se descubre un dispositivo con un puerto Telnet abierto, el bot infectado intenta acceder a él mediante un ataque de fuerza bruta. Para ello, utiliza una lista predefinida de aproximadamente 60 credenciales por defecto y débiles comúnmente utilizadas por los fabricantes de dispositivos IoT (por ejemplo, combinaciones como admin/admin o root/12345) .
Si el intento de inicio de sesión tiene éxito, el bot no infecta el dispositivo inmediatamente. En su lugar, informa de las credenciales (la IP y el par usuario/contraseña) a un servidor de reportes centralizado (Scan Listener) .
Fase 3: Carga e Infección (Loading)
Un componente separado llamado "loader" (cargador) recoge las credenciales reportadas y se encarga de la infección real . Este loader se conecta al dispositivo vulnerable utilizando las credenciales obtenidas y determina la arquitectura del sistema (como ARM, MIPS o x86) para descargar el binario específico del malware Mirai en el dispositivo . Para dispositivos que no tienen comandos como wget o tftp, el loader puede usar un método llamado "echo loading", que consiste en transferir un pequeño programa descargador escribiéndolo directamente en la consola Telnet .
Fase 4: Ejecución y Encubrimiento (Execution & Concealment)
Una vez que el binario se ejecuta en el dispositivo víctima, el malware toma varias medidas para asegurar su control y ocultar su presencia:
- Ofuscación: El proceso del malware se renombra con un nombre aleatorio (como
[huevos]o[kamikaze]) para parecer un proceso más del sistema y no levantar sospechas . - Eliminación de Evidencias: El archivo binario descargado se elimina del sistema de archivos, por lo que el malware reside únicamente en la memoria . Un reinicio del dispositivo lo eliminaría temporalmente.
- Eliminación de la Competencia: El malware busca y termina cualquier proceso asociado a otros malware o servicios que ocupen los puertos Telnet (22/23) para tomar el control total del dispositivo y evitar que otros bots lo reclamen .
Fase 5: Comando y Control (C2) y Ataque
Finalmente, el dispositivo infectado y recién convertido en "bot" se conecta a un servidor de Comando y Control (C&C o C2) . Una vez conectado, el bot queda a la espera de instrucciones. Mientras espera, continúa con la fase de escaneo para encontrar más víctimas, perpetuando el ciclo . Cuando el atacante (Bot Master) envía una orden a través del servidor C2, todos los bots del ejército (la botnet) inician un ataque distribuido de denegación de servicio (DDoS) contra el objetivo designado, saturándolo con tráfico inútil para dejarlo fuera de servicio
Impacto y Consecuencias:
- Ataques de Denegación de Servicio (DDoS): Mirai fue especialmente conocido por su capacidad para realizar ataques de denegación de servicio distribuidos (DDoS) a gran escala, utilizando la potencia combinada de los dispositivos infectados.
- Caída de Servicios Online: Los ataques DDoS lanzados por Mirai tuvieron consecuencias significativas, causando la interrupción de servicios en línea, sitios web y plataformas.
- Enfoque en Dispositivos IoT: Mirai puso de manifiesto la vulnerabilidad de los dispositivos IoT debido a las prácticas de seguridad insuficientes, subrayando la importancia de asegurar estos dispositivos conectados.
Origen y Motivación:
Mirai fue creado por un grupo de hackers inicialmente interesados en ganar ventajas en el mundo de los videojuegos en línea mediante ataques DDoS. Sin embargo, la botnet creció rápidamente y se utilizó para realizar ataques a gran escala contra diversas plataformas en línea. La motivación inicial se desvió hacia actividades maliciosas más amplias.
El caso de Mirai destaca la necesidad crítica de asegurar dispositivos IoT mediante la implementación de contraseñas fuertes y actualizaciones de firmware regulares. También resalta la importancia de la colaboración entre fabricantes, proveedores de servicios y usuarios finales para abordar las vulnerabilidades en dispositivos conectados y prevenir futuros ataques DDoS a gran escala.