Mirai (malware)

Mirai (del japonés "futuro",未来) es un malware que convierte dispositivos en red que ejecutan Linux en bots controlados remotamente que pueden usarse como parte de una botnet en ataques de red a gran escala. Se dirige principalmente a dispositivos de consumo en línea como cámaras IP y enrutadores domésticos . ^{[ 1 ]} La botnet Mirai fue descubierta por primera vez en agosto de 2016 ^{[ 2 ]} por MalwareMustDie , ^{[ 3 ]} un grupo de investigación de malware de sombrero blanco , y se ha utilizado en algunos de los ataques de denegación de servicio distribuido (DDoS) más grandes y disruptivos , incluido un ataque el 20 de septiembre de 2016 ^{[ 4 ]} al sitio web del periodista de seguridad informática Brian Krebs , un ataque al proveedor de alojamiento web francés OVH , ^{[ 5 ]} y los ataques DDoS de octubre de 2016 a Dyn . ^{[ 6 ] [ 7 ]} Según un registro de chat entre Anna-senpai (la autora original del malware) y Robert Coelho, Mirai recibió su nombre de la serie de anime de televisión de 2011 Mirai Nikki . ^{[ 8 ]}

El software fue utilizado inicialmente por los creadores para realizar ataques DDoS a servidores de Minecraft y a empresas que ofrecían protección DDoS a dichos servidores , utilizando Mirai para operar una red de extorsión . ^{[ 9 ]} El código fuente de Mirai fue publicado posteriormente en Hack Forums como código abierto . ^{[ 10 ]} Desde su publicación, las técnicas se han adaptado a otros proyectos de malware. ^{[ 11 ] [ 12 ]}

Los dispositivos infectados por Mirai escanean continuamente internet en busca de la dirección IP de los dispositivos del Internet de las cosas (IoT). Mirai incluye una tabla de rangos de direcciones IP que no infectará, incluidas las redes privadas y las direcciones asignadas al Servicio Postal de los Estados Unidos y al Departamento de Defensa . ^{[ 13 ]}

Mirai identifica dispositivos IoT vulnerables utilizando una tabla de más de 60 nombres de usuario y contraseñas predeterminados de fábrica comunes, e inicia sesión en ellos para infectarlos. ^{[ 5 ] [ 14 ] [ 15 ]} Los dispositivos infectados seguirán funcionando normalmente, excepto por una lentitud ocasional, ^{[ 14 ]} y un mayor uso de ancho de banda . Un dispositivo permanece infectado hasta que se reinicia , lo que puede implicar simplemente apagar el dispositivo y, después de una breve espera, volver a encenderlo. Después de un reinicio, a menos que se cambie la contraseña de inicio de sesión inmediatamente, el dispositivo se reinfectará en cuestión de minutos. ^{[ 14 ]} Tras la infección, Mirai identificará cualquier malware "competitivo", lo eliminará de la memoria y bloqueará los puertos de administración remota. ^{[ 16 ]}

Los dispositivos IoT víctimas se identifican mediante una fase de escaneo rápido en la que envían sondas TCP SYN de forma asíncrona y sin estado a direcciones IPv4 pseudoaleatorias, excluyendo aquellas en una lista negra de IP codificada, en los puertos TCP 23 y 2323 de Telnet . ^{[ 17 ]} Si un dispositivo IoT responde a la sonda, el ataque pasa a una fase de inicio de sesión por fuerza bruta. Durante esta fase, el atacante intenta establecer una conexión Telnet utilizando pares predeterminados de nombre de usuario y contraseña de una lista de credenciales. La mayoría de estos inicios de sesión son nombres de usuario y contraseñas predeterminados del proveedor de IoT. Si el dispositivo IoT permite el acceso Telnet, la IP de la víctima, junto con la credencial utilizada correctamente, se envía a un servidor de recopilación.

Existe una gran cantidad de dispositivos IoT que utilizan configuraciones predeterminadas, lo que los hace vulnerables a la infección. Una vez infectados, el dispositivo monitoriza un servidor de comando y control que indica el objetivo del ataque. ^{[ 14 ]} El motivo del uso de tantos dispositivos IoT es eludir algunos programas anti-DoS que monitorizan la dirección IP de las solicitudes entrantes y filtran o bloquean el tráfico si detectan un patrón anómalo, por ejemplo, si se reciben demasiadas solicitudes de una dirección IP específica. Otras razones incluyen poder movilizar un mayor ancho de banda del que el atacante podría reunir por sí solo y evitar ser rastreado.

La amenaza que representa Mirai para los dispositivos del Internet de las Cosas (IoT) persiste tras la detención de sus responsables, debido a que otros actores han utilizado el código fuente disponible en GitHub para desarrollar nuevas variantes ^{[ 18 ]} . Algunos especulan que el objetivo es expandir su red de bots a muchos más dispositivos IoT. Los detalles sobre el progreso reciente de estas variantes se describen en los siguientes párrafos.

Mirai se utilizó, junto con BASHLITE , ^{[ 32 ]} en el ataque DDoS del 20 de septiembre de 2016 contra el sitio Krebs on Security  , que alcanzó los 620 Gbit/s. ^{[ 33 ]} Ars Technica también informó de un  ataque de 1 Tbit/s contra el proveedor de alojamiento web francés OVH . ^{[ 5 ]}

El 21 de octubre de 2016, se produjeron varios ataques DDoS importantes contra los servicios DNS del proveedor de servicios DNS Dyn mediante el malware Mirai, instalado en un gran número de dispositivos IoT , muchos de los cuales aún utilizaban sus nombres de usuario y contraseñas predeterminados. ^{[ 34 ]} Estos ataques provocaron la inaccesibilidad de varios sitios web de gran relevancia, como GitHub , Twitter , Reddit , Netflix , Airbnb y muchos otros. ^{[ 35 ]} La atribución del ataque a Dyn a la botnet Mirai fue reportada originalmente por Level 3 Communications. ^{[ 32 ] [ 36 ]}

Más tarde se reveló que Mirai se había utilizado durante los ataques DDoS contra la Universidad de Rutgers entre 2014 y 2016, que dejaron a profesores y estudiantes del campus sin acceso a Internet durante varios días seguidos. Además, un fallo del Servicio Central de Autenticación de la universidad provocó que la inscripción a cursos y otros servicios no estuvieran disponibles durante momentos críticos del semestre académico. Según se informa, la universidad gastó 300.000 dólares en consultoría y aumentó el presupuesto de ciberseguridad de la universidad en 1 millón de dólares en respuesta a estos ataques. La universidad citó los ataques entre sus razones para el aumento de la matrícula y las tasas para el año escolar 2015-2016. ^{[ 37 ]} Una persona bajo el alias "exfocus" se atribuyó la responsabilidad de los ataques, afirmando en una sesión de preguntas y respuestas en Reddit en el subreddit /r/Rutgers que el usuario era un estudiante de la universidad y que los ataques DDoS fueron motivados por frustraciones con el sistema de autobuses de la universidad . El mismo usuario afirmó posteriormente en una entrevista con un bloguero de Nueva Jersey que había mentido sobre su afiliación a la universidad y que los ataques estaban siendo financiados por un cliente anónimo. El investigador de seguridad Brian Krebs alegó más tarde que el usuario era, en efecto, estudiante de la Universidad de Rutgers y que la última entrevista se concedió en un intento de distraer a los investigadores. ^{[ 8 ]}

El personal de Deep Learning Security observó el crecimiento constante de las botnets Mirai antes y después del ataque del 21 de octubre. ^{[ 38 ]}

Mirai también se utilizó en un ataque a la infraestructura de Internet de Liberia en noviembre de 2016. ^{[ 39 ] [ 40 ] [ 41 ]} Según el experto en seguridad informática Kevin Beaumont, el ataque parece haberse originado en el mismo actor que también atacó a Dyn. ^{[ 39 ]}

Sus ataques DDoS también fueron notables en Brasil, Taiwán, Costa Rica e India. ^{[ 42 ]}

A finales de noviembre de 2016, aproximadamente 900 000 routers de Deutsche Telekom , fabricados por Arcadyan, fallaron debido a intentos fallidos de explotación de la vulnerabilidad TR-064 por parte de una variante de Mirai, lo que provocó problemas de conectividad a Internet para los usuarios de estos dispositivos. ^{[ 43 ] [ 44 ]} Si bien TalkTalk posteriormente actualizó sus routers, se descubrió una nueva variante de Mirai en los routers de TalkTalk. ^{[ 45 ]}

Un hombre británico sospechoso de estar detrás del ataque fue arrestado en el aeropuerto de Luton, según la BBC . ^{[ 46 ]}

El 17 de enero de 2017, el periodista de seguridad informática Brian Krebs publicó un artículo en su blog, Krebs on Security, donde reveló el nombre de la persona que creía que había escrito el malware. Krebs afirmó que la probable identidad real de Anna-senpai (llamada así por Anna Nishikinomiya, un personaje de Shimoneta ), autora de Mirai, era en realidad un estadounidense de origen indio, Paras Jha, propietario de una empresa de servicios de mitigación de DDoS, ProTraf Solutions, y estudiante de la Universidad de Rutgers . En una actualización del artículo original, Paras Jha respondió a Krebs y negó haber escrito Mirai. ^{[ 8 ]} Se informó que el FBI interrogó a Jha sobre su participación en el ciberataque Dyn de octubre de 2016. ^{[ 47 ]} El 13 de diciembre de 2017, Paras Jha, Josiah White y Dalton Norman se declararon culpables de delitos relacionados con la botnet Mirai. ^{[ 48 ]} El trío ayudó al gobierno con otras investigaciones de ciberseguridad y fue sentenciado a libertad condicional y servicio comunitario sin prisión. ^{[ 49 ]} El 26 de octubre de 2018, Jha fue condenado a pagar 8,6 millones de dólares en restitución y a seis meses de arresto domiciliario por el Tribunal de Distrito de los Estados Unidos para el Distrito de Nueva Jersey por el ataque a la Universidad de Rutgers. ^{[ 50 ]}

Daniel Kaye, de 29 años, también conocido como alias "BestBuy", "Popopret" o "Spiderman", ha sido acusado de "utilizar una red de ordenadores infectados conocida como la botnet Mirai para atacar y extorsionar a los bancos Lloyds Banking Group y Barclays ", según la NCA. Ha sido extraditado de Alemania al Reino Unido, según el mismo informe. Kaye también se declaró culpable ante el tribunal de haber secuestrado más de 900.000 routers de la red de Deutsche Telekom. ^{[ 51 ] [ 52 ]}

Researchers later pointed to the handle name "Nexus Zeta" as responsible for the author of new variants of Mirai (dubbed as Okiru, Satori, Masuta and PureMasuta),^[53][54][23] and on August 21, 2018, an American grand jury indicted Kenneth Currin Schuchman, 20, aka Nexus Zeta, of knowingly causing the transmission of a program, information, code, and commands, and as result of such conduct intentionally causing damage without authorization to protected computers, according to the indictment filed in U.S. District Court in Anchorage,^[55][56] followed by the arrest and trial of the suspect.^[57]

American electronic musician and composer James Ferraro's 2018 album Four Pieces for Mirai references Mirai in its ongoing narrative.

• Linux malware
• Denial-of-service attack
• BASHLITE – another notable IoT malware
• Linux.Darlloz – another notable IoT malware
• Remaiten – another IoT DDoS bot
• Linux.Wifatch
• Hajime
• BrickerBot

• Greenberg, Andy (14 de noviembre de 2023). "Las confesiones de Mirai: tres jóvenes hackers que crearon un monstruo para matar webs finalmente cuentan su historia" . Wired .