RDP, el protocolo de escritorio remoto, ha sido noticia durante el último tiempo después de que Microsoft reparó una vulnerabilidad crítica de ejecución remota de código (CVE-2019-0708). Si bien los informes sobre esta vulnerabilidad bautizada como "Bluekeep" se enfocaron en parchear servidores vulnerables, la exposición de RDP a Internet nunca ha sido una buena idea en materia de seguridad.
Los ciberdelincuentes aprovechan cada nueva oportunidad para explotar estos servidores debido a los problemas recientes de seguridad de Microsoft, consecuencia de esto, es una nueva botnet identificada como GoldBrute, la cual está escaneando en Internet para buscar máquinas con Windows que cuenten con el protocolo de escritorio remoto (RDP) habilitado.
La red de bots actualmente se dirige a más de 1.5 millones de endpoints, utilizada para forzar las conexiones RDP o para llevar a cabo ataques de credential stuffing (forzar nombres de usuarios y passwords genéricas).
GoldBrute actualmente tiene un solo servidor de comando y control (C2) con la dirección IP 104[.]156[.]249[.]23, y los bots intercambian datos con este a través de conexiones WebSocket encriptadas con AES por el puerto 8333.
El flujo de ataque completo es el siguiente:
- La botnet realiza ataques de fuerza bruta a las conexiones RDP, obteniendo acceso a un sistema Windows desprotegido.
- Se descarga un gran archivo .zip que contiene el código (desarrollado en el lenguaje de programación Java) de GoldBrute y Java Runtime necesario para ejecutar la botnet, este se descomprime y ejecuta un archivo .jar ofuscado como "bitcoin.dll".
- El bot comenzará a escanear la Internet en busca de servidores RDP vulnerables y enviará sus direcciones IP al C2 que, para luego, enviar una lista de direcciones IP.
- El bot de GoldBrute obtiene diferentes muestras de "host + nombre de usuario + contraseña".
- Finalmente se realiza el ataque de fuerza bruta y reporta el resultado al servidor C2.
Según la investigación, la lista de objetivos "vulnerables" de RDP está creciendo rápidamente, esto por lógica, aumenta el tamaño de la botnet y de las victimas.
COMENTARIOS