Misterioso ataque cibernético derribó más de 600,000 routers en EE.UU.

El apagón es significativo, no solo porque provocó la eliminación abrupta del 49% de todos los módems del número de sistema autónomo (ASN) del ISP afectado durante el período de tiempo.

Aunque no se divulgó el nombre del ISP, la evidencia apunta a que es Windstream, que sufrió una interrupción alrededor de la misma época, lo que llevó a los usuarios a reportar una «luz roja constante» en los módems afectados.

Ahora, meses después, el análisis de Lumen ha revelado que un troyano de acceso remoto (RAT) de uso común llamado Chalubo, un malware sigiloso documentado por primera vez por Sophos en octubre de 2018, fue el responsable del sabotaje, con el adversario optando por este probablemente en un esfuerzo por complicar los esfuerzos de atribución en lugar de usar un kit de herramientas personalizado.

«Chalubo tiene cargas útiles diseñadas para todos los principales kernels de SOHO/IoT, funcionalidad preconstruida para realizar ataques DDoS y puede ejecutar cualquier script Lua enviado al bot», dijo la compañía. «Sospechamos que la funcionalidad Lua fue probablemente empleada por el actor malicioso para recuperar la carga destructiva.»

Dicho esto, el método exacto de acceso inicial utilizado para comprometer los routers es actualmente incierto, aunque se teoriza que podría haber implicado el abuso de credenciales débiles o la explotación de una interfaz administrativa expuesta.

Al obtener un punto de apoyo exitoso, la cadena de infección procede a desplegar scripts de shell que allanan el camino para un cargador diseñado finalmente para recuperar y lanzar Chalubo desde un servidor externo. El módulo de script Lua destructivo recuperado por el troyano es desconocido.