Botnet Ddostf implementando Attackf en servidores MySQL
La botnet 'Ddostf' está centrando su actividad en los servidores MySQL con el objetivo de tomar el control y ofrecer sus capacidades DDoS como servicio a otros ciberdelincuentes.
Los investigadores del Centro de Respuesta a Emergencias de Seguridad de AhnLab (ASEC) encontraron esta amenaza mientras buscaban periódicamente peligros dirigidos a los servidores de bases de datos. ASEC revela que los operadores de Ddostf explotan las debilidades en las configuraciones de MySQL que no han sido actualizadas o intentan ingresar adivinando contraseñas débiles de cuentas de administrador. Escanean activamente Internet en busca de servidores MySQL expuestos, intentando violarlos probando varias credenciales de administrador.
Para los servidores Windows MySQL, los atacantes utilizan una característica conocida como funciones definidas por el usuario (UDF) para ejecutar comandos en el sistema comprometido. Las UDF en MySQL permiten a los usuarios crear funciones en C o C++ y compilarlas en un archivo DLL, ampliando las capacidades del servidor de bases de datos.
En este caso, los atacantes crean sus propias UDF y las registran en el servidor de la base de datos como un archivo DLL (amd.dll) con funciones maliciosas, incluida la descarga de cargas útiles del bot DDoS de Ddostf, la ejecución de comandos a nivel de sistema y el envío de resultados de ejecución de comandos al atacantes. Este abuso de UDF ayuda a cargar la carga útil principal del ataque, el cliente bot Ddostf, pero también podría conducir a otras instalaciones de malware, robo de datos y creación de puertas traseras para acceso persistente.
Orígenes de la botnet Ddostf
Ddostf, una botnet de malware de origen chino detectada hace unos siete años, apunta tanto a sistemas Linux como a Windows. En Windows, garantiza la persistencia haciéndose pasar por un servicio del sistema durante su ejecución inicial y luego descifra su configuración de comando y control (C2) para establecer una conexión. El malware recopila información sobre el sistema host, como detalles de la CPU, idioma, versión de Windows y velocidad de la red, y envía estos datos a su C2.
Luego, el servidor C2 puede enviar varios comandos al cliente de la botnet, incluidos diferentes tipos de ataques DDoS, solicitudes para dejar de enviar información sobre el estado del sistema, cambiar a una nueva dirección C2 o descargar y ejecutar una nueva carga útil. ASEC señala que la capacidad de Ddostf para conectarse a una nueva dirección C2 lo distingue de la mayoría del malware de botnet DDoS, lo que lo hace más resistente contra las eliminaciones.
Para protegerse contra estas amenazas, la compañía de ciberseguridad recomienda que los administradores de MySQL mantengan sus sistemas actualizados y utilicen contraseñas largas y únicas para protegerse contra ataques de fuerza bruta y de diccionario.
