2391
ediciones
fases especificadas
Sin resumen de edición |
(fases especificadas) |
||
| Línea 11: | Línea 11: | ||
== '''Funcionamiento:''' == | == '''Funcionamiento:''' == | ||
=== Fase 1: Escaneo y Reconocimiento (Scanning) === | |||
El proceso comienza con dispositivos ya infectados (bots) que escanean internet de forma masiva. Estos bots utilizan un escáner SYN (TCP) de alta eficiencia para buscar direcciones IP aleatorias que tengan puertos específicos abiertos, principalmente el puerto 23 (Telnet) y, en algunos casos, el 2323 . Este escaneo es "sin estado", lo que significa que es muy rápido y consume pocos recursos, permitiendo a los bots prospectar grandes cantidades de dispositivos potencialmente vulnerables, como routers, cámaras de seguridad o DVRs . | |||
=== Fase 2: Explotación y Compromiso (Exploitation & Reporting) === | |||
Una vez que se descubre un dispositivo con un puerto Telnet abierto, el bot infectado intenta acceder a él mediante un ataque de fuerza bruta. Para ello, utiliza una lista predefinida de aproximadamente 60 credenciales por defecto y débiles comúnmente utilizadas por los fabricantes de dispositivos IoT (por ejemplo, combinaciones como <code>admin/admin</code> o <code>root/12345</code>) . | |||
Si el intento de inicio de sesión tiene éxito, el bot no infecta el dispositivo inmediatamente. En su lugar, informa de las credenciales (la IP y el par usuario/contraseña) a un servidor de reportes centralizado (Scan Listener) . | |||
=== Fase 3: Carga e Infección (Loading) === | |||
Un componente separado llamado "loader" (cargador) recoge las credenciales reportadas y se encarga de la infección real . Este loader se conecta al dispositivo vulnerable utilizando las credenciales obtenidas y determina la arquitectura del sistema (como ARM, MIPS o x86) para descargar el binario específico del malware Mirai en el dispositivo . Para dispositivos que no tienen comandos como <code>wget</code> o <code>tftp</code>, el loader puede usar un método llamado "echo loading", que consiste en transferir un pequeño programa descargador escribiéndolo directamente en la consola Telnet . | |||
=== Fase 4: Ejecución y Encubrimiento (Execution & Concealment) === | |||
Una vez que el binario se ejecuta en el dispositivo víctima, el malware toma varias medidas para asegurar su control y ocultar su presencia: | |||
* Ofuscación: El proceso del malware se renombra con un nombre aleatorio (como <code>[huevos]</code> o <code>[kamikaze]</code>) para parecer un proceso más del sistema y no levantar sospechas . | |||
* Eliminación de Evidencias: El archivo binario descargado se elimina del sistema de archivos, por lo que el malware reside únicamente en la memoria . Un reinicio del dispositivo lo eliminaría temporalmente. | |||
* Eliminación de la Competencia: El malware busca y termina cualquier proceso asociado a otros malware o servicios que ocupen los puertos Telnet (22/23) para tomar el control total del dispositivo y evitar que otros bots lo reclamen . | |||
=== Fase 5: Comando y Control (C2) y Ataque === | |||
Finalmente, el dispositivo infectado y recién convertido en "bot" se conecta a un servidor de Comando y Control (C&C o C2) . Una vez conectado, el bot queda a la espera de instrucciones. Mientras espera, continúa con la fase de escaneo para encontrar más víctimas, perpetuando el ciclo . Cuando el atacante (Bot Master) envía una orden a través del servidor C2, todos los bots del ejército (la botnet) inician un ataque distribuido de denegación de servicio (DDoS) contra el objetivo designado, saturándolo con tráfico inútil para dejarlo fuera de servicio | |||
== '''Impacto y Consecuencias:''' == | == '''Impacto y Consecuencias:''' == | ||
| Línea 27: | Línea 44: | ||
[[ | [[index.php?title=Categoría:Familias de malware|Familias de malware]] | ||