Los hackers no paran nunca, se toman la tarea de buscar constantemente nuevas maneras de infectar los dispositivos de las maneras más originales y simuladas posibles. Ahora, un nuevo malware ha tomado una técnica usada por otros ransomware, pero la aprovecha para escanear Internet en busca de dispositivos vulnerables y robarles las contraseñas.
Xwo, es el malware que escanea Internet en busca de dispositivos vulnerables, así lo han descubierto investigadores de Alien Labs de AT&T, donde han analizado el malware descubierto en marzo. Su nombre fue dado por el módulo principal del malware. Los investigadores creen que este malware puede estar relacionado con el ransomware MongoLock y XBash, debido a que hay muchas similitudes en el código de los tres, escritos en Python.
Sin embargo, este malware no tiene nada relacionado con el ransomware ni con el minado de criptomonedas, su foco no es obtener ganancias con los ordenadores infectados, el objetivo de esté es buscar credenciales y servicios desprotegidos para recopilar la información y enviarla a un servidor de control mediante una solicitud HTTP POST.
Este tipo de comportamiento sigue el mismo patrón que los malware anteriormente mencionados, creando dominios que suplantan a webs reales de ciberseguridad y medios de comunicación, pasando a registrarlos bajo dominio .tk. Los investigadores aún desconocen cómo se está expandiendo el malware y cómo consigue acceso a ordenadores conectados a Internet.
Entre los servicios en los que busca credenciales por defecto se encuentran FTP, MySQL, PostgreSQL, MongoDB, Redis, Memcached, Tomcat, phpMyAdmin, VNC y RSYNC. Sin embargo, no hace nada más allá de identificar posibles objetivos y reportarlo al servidor de control. Lo más probable es que, a partir de ahí, los hackers encuentren puntos débiles para explotarlos en ataques más peligrosos con malware diferente.
Así, este malware es básicamente el componente de otro malware que podría ser aún más peligroso, pero que evita ser tan dañino en un comienzo. La existencia de Xwo no quiere decir que hayan dejado de lado la creación de otro malware como ransomware, sino que están buscando nuevas vías para desplegar su ciberarsenal.
Además de utilizar un antivirus, los investigadores recomiendan a los administradores de red y a los usuarios que cambien las contraseñas por defecto de los servicios que utilizan, y que esos servicios tengan el acceso bloqueado a través de Internet (que normalmente suele ser a través de puertos abiertos). Gracias a ello, se evita que Xwo y otro malware que escanee la red pueda hacerse fácilmente con la información.
CloudFlare, por su parte, ha cerrado los servidores C2 que usaba el malware para enviar información, pero es muy probable que los atacantes vuelvan a lanzar nuevas oleadas de ataques a través de nuevos servidores maliciosos.
En ZMA IT Solution tenemos la solución para evitar que seas una de las victimas de este peligroso malware, como lo es ESET Dynamic Threat Defense, esté agrega un nivel adicional de seguridad a las soluciones de ESET, mediante la incorporación de sandboxing basado en la nube para la detección de amenazas desconocidas. ESET Dynamic Threat Defense incluye: Detección basada en el comportamiento, Machine Learning, Detección de amenazas 0-day y Sandboxing basado en la nube.
Está protección en múltiples niveles, puedes descargarla gratis por 30 días de prueba en www.zma-it.com
FUENTE WEB: https://www.adslzone.net/2019/04/03/xwo-malware-escaneando-internet/
