Botnet Black con malware Ramnit
Los investigadores de seguridad en la seguridad de Checkpoint han detectado una botnet de proxy masivo rastreada como botnet Black creada por los operadores de Ramnit.
Los investigadores de seguridad de la seguridad de Checkpoint han detectado una botnet proxy masiva, rastreada como botnet 'Black', que podría ser el signo de una operación en curso más amplia que involucra a los operadores de Ramnit.
Ramnit es una de las familias de malware bancario más populares que existen en la actualidad, se descubrió por primera vez en 2010 como un gusano, en 2011, sus autores lo mejoraron a partir del código fuente Zeus filtrado convirtiendo el malware en un troyano bancario. En 2014 alcanzó el pináculo del éxito, convirtiéndose en la cuarta botnet más grande del mundo.
En 2015, la asociación de Europol con varias empresas de tecnología privadas anunció el derribo de la infraestructura de Ramnit C2.
Unos meses más tarde, cuando Ramnit regresó, los investigadores de seguridad de IBM descubrieron una nueva variante del popular troyano Ramnit.
Recientemente, los expertos observaron que la campaña de botnet "Black" ha infectado 100.000 sistemas en dos meses, y esto es solo la punta del iceberg porque, según los investigadores, un malware de segunda etapa llamado Ngioweb ya se está extendiendo.
Existe el riesgo concreto de que los operadores de Ramnit estén utilizando los dos programas maliciosos para construir una gran red de bots multipropósito que podría usarse para muchas actividades fraudulentas (es decir, ataques DDoS, campañas basadas en ransomware, campañas de minería de criptomonedas).
"Recientemente descubrimos el servidor de Ramnit C & C (185.44.75.109) que no está relacionado con la botnet" demetra "que anteriormente era más prevalente . Según los nombres de dominio que se resuelven en la dirección IP de este servidor de C & C, pretende controlar incluso los bots antiguos, que se vieron por primera vez en 2015. Llamamos a esta botnet "Black" debido al valor clave RC4, "black", que es utilizado para el cifrado del tráfico en este botnet ", dice el análisis publicado por la seguridad de Checkpoint.
“Este servidor C & C ha sido realmente activa desde el 6 º de marzo de 2018, pero no atraer la atención debido a la baja capacidad de la‘botnet negro’en ese momento. Sin embargo, en mayo-julio de 2018 detectamos una nueva campaña de Ramnit con alrededor de 100.000 computadoras infectadas ".
Según los expertos, en la operación Black, el malware Ramnit se distribuye a través de campañas de spam. El código malicioso funciona como malware de primera etapa y se utiliza para entregar un malware de segunda etapa denominado Ngioweb.
"Ngioweb representa un servidor proxy multifuncional que utiliza su propio protocolo binario con dos capas de cifrado", continúa el análisis publicado por Checkpoint.
"El malware proxy admite el modo de conexión de respaldo, modo de retransmisión , IPv4, protocolos IPv6, TCP y transportes UDP, con las primeras muestras vistas en la segunda mitad de 2017".
Ngioweb aprovecha una infraestructura C & C de dos etapas, el servidor STAGE-0 C & C informa al malware sobre el servidor STAGE-1 C & C mientras que la conexión HTTP desencriptada se usa para este propósito. El segundo servidor STAGE-1 C & C se utiliza para controlar el malware a través de una conexión cifrada.
El malware Ngioweb puede operar en dos modos principales, el proxy de reconexión regular y el modo de proxy de retransmisión.
En un modo proxy de retransmisión, el malware permite a los operadores construir cadenas de proxies y esconder sus servicios detrás de la dirección IP de un bot.
La siguiente secuencia de acciones se usa para construir un servicio oculto usando la red de bots Ngioweb:
- Ngioweb Bot-A se conecta a C & C STAGE-0 y recibe el comando para conectarse al servidor C & C STAGE-1 con la dirección X: 6666.
- Ngioweb Bot-A se conecta con C & C STAGE-1 (Server-X) en X: 6666. Server-X le pide al robot que inicie el servidor TCP. Ngioweb bot informa sobre el inicio del servidor TCP con la dirección IP y el puerto.
- El actor de malware publica la dirección del Bot-A en DNS (o utilizando cualquier otro canal público).
- Otro malware Bot-B resuelve la dirección de Bot-A usando DNS (o usando cualquier otro canal público).
- Bot-B se conecta a Bot-A.
- Bot-A crea una nueva conexión con Server-X y funciona como retransmisión entre Server-X y Bot-B.