Con el nombre Wicked-Mirai los expertos de Seguridad de la Empresa Fortinet identificaron a esta nueva variante de la famosa botnet Mirai. Esta nueva variante incluye al menos 3 nuevos exploit en comparación a la versión original.
El equipo de Laboratorio de Fortiguard ha visto incrementar el número de variantes de Mirai, y esto gracias a que el código fuente del botnet se hizo público hace dos años. Se lee en el analisis publicado por Fortinet.
Usualmente los módulos que están dentro del bot Mirai son 3: Attack, Killer, y Scanner. En el analisis que realizó Fortiguard, esta nueva variante "Wicked" se centro en el mecanismo de distribución del malware. La versión original de Mirai utilizaba intentos de fuerza bruta para ganar acceso a los dispositivos Iot, pero la versión nueva viene con algunos exploit ya conocidos para realizar los ataques.
Wicked utiliza los puertos 8080, 8443 80 y 81 para intentar realizar la detección de los dispositivos.
Si la conexión es exitosa este intentara utilizar el exploit y descargar la carga util.
Dispositivos Objetivos
El exploit que utiliza Wicked depende del puerto en el cual se conecto.Puerto 8080: Netgear DGN1000 y DGN2200 Routers
Puerto 81: CCTV-DVR
Puerto 80: Invocar Shell de los servidores comprometidos.
Si se realiza la explotación de la vulnerabilidad, este malware descarga un payload desde una página web, en este caso, hxxp://185.246.152.173/exploit/owari.{extension}. Dentro de esa página web, existen varias muestras del botnet Omni, el cual fue aparentemente utilizado en la vulnerabilidad de Gpon CVE-2018-10561.
Encontrar la conexión entre los botnets Wicked, Sora, Owari y Omni nos llevó a una entrevista en abril pasado con un investigador de seguridad que creemos que es el autor de estas variantes de botnet. Básicamente, el autor que usa el pseudo nombre "Wicked" confirmó que es el autor tanto de Sora como de Owari. Cuando se le preguntó sobre el futuro de Sora y Owari, la respuesta de Wicked fue: "SORA es un proyecto abandonado por el momento y seguiré trabajando en OWARI. No verán un tercer proyecto de mí en el corto plazo, ya que continúo expandiendo mis actuales ". Segun el informe de fortinet.
