Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Malware Mozi IoT Botnet
Malware Mozi IoT Botnet
Mozi es un botnet de igual a igual (P2P) que ataca dispositivos de Internet de las cosas (IoT), como routers y grabadoras de video digital (DVR). Se propaga explotando contraseñas débiles de telnet y vulnerabilidades conocidas. Una vez que un dispositivo se infecta, se une al botnet y puede usarse para lanzar ataques de denegación de servicio distribuido (DDoS), ejecutar payloads o robar información.
¿Qué es el malware Mozi IoT Botnet?
Mozi es una amenaza desagradable derivada del código fuente de otras familias de malware IoT como Mirai, Gafgyt e IoT Reaper. Funciona principalmente como un botnet P2P, lo que significa que los dispositivos infectados se comunican directamente entre sí en lugar de hacerlo con un servidor centralizado de comando y control (C2). Esto hace que el botnet sea más resistente y más difícil de desmantelar.
Su principal objetivo es reclutar la mayor cantidad posible de dispositivos IoT (piensa en routers, cámaras web y DVR) para crear un ejército zombi masivo. Este ejército se puede alquilar o usar para ataques DDoS a gran escala, exfiltración de datos y ejecución de comandos. Aunque tiene varios alias, se le conoce comúnmente solo como Mozi.
¿Cuándo se descubrió por primera vez Mozi IoT Botnet?
Los investigadores de seguridad detectaron por primera vez a Mozi a fines de 2019. Rápidamente ganó notoriedad por su rápido crecimiento y su sofisticada arquitectura P2P, lo que lo diferenció de los botnets tradicionales de control centralizado.
¿Quién creó Mozi IoT Botnet?
Se cree que las personas detrás de Mozi son un actor de amenazas o grupo de habla china. La evidencia que respalda esto incluye el uso de caracteres chinos específicos en el código y arrestos realizados por las autoridades chinas en 2021 relacionados con la operación del botnet.
¿A qué ataca Mozi IoT Botnet?
Mozi no discrimina mucho a la hora de elegir sus objetivos. Va tras una amplia gama de dispositivos IoT sin parches y mal protegidos en todo el mundo. Esto incluye dispositivos fabricados por Netgear, D-Link, Huawei y muchos otros. Sus principales objetivos son aquellos con credenciales Telnet débiles o predeterminadas y vulnerabilidades sin parches, lo que lo convierte en una amenaza tanto para usuarios domésticos como para empresas con implementaciones IoT no protegidas.
Método de distribución de Mozi IoT Botnet
Mozi es un worm que se propaga de forma agresiva. Su principal método de propagación es escanear internet en busca de dispositivos IoT expuestos con puertos Telnet abiertos. Luego intenta ingresar por fuerza bruta usando una lista de nombres de usuario y contraseñas comunes y predeterminados.
Además de los ataques de fuerza bruta, Mozi también explota una serie de vulnerabilidades conocidas de ejecución remota de código en varios dispositivos IoT. Una vez que obtiene acceso, descarga y ejecuta el payload del malware, reclutando oficialmente el dispositivo en su ejército de botnet. El dispositivo recién infectado comienza entonces a escanear en busca de su próxima víctima, continuando el ciclo de infección.
Análisis técnico del malware Mozi IoT Botnet
Una vez que infecta un dispositivo, Mozi se pone a trabajar para afianzarse. Establece persistencia copiándose a sí mismo en directorios comunes del sistema y configurando reglas para asegurarse de ejecutarse al inicio. También bloquea puertos comunes de acceso remoto como Telnet (23) y SSH (22) para evitar que otros atacantes, o el propietario del dispositivo, obtengan acceso.
El malware usa un protocolo de tabla de hash distribuida (DHT), similar al que se usa en torrents, para crear su red P2P. Esto permite que los nodos infectados se encuentren entre sí y reciban comandos sin un servidor central. Esta estructura descentralizada es un gran dolor de cabeza para los defensores porque no hay un único punto de falla al cual atacar.
Tácticas, técnicas y procedimientos (TTPs)
El comportamiento de Mozi se alinea con varias técnicas de MITRE ATT&CK, entre ellas:
T1021.004 (Remote Services: SSH): Usa SSH para el movimiento lateral y el acceso inicial.
T1190 (Exploit Public-Facing Application): Explota vulnerabilidades conocidas en dispositivos IoT.
T1078 (Valid Accounts): Usa credenciales débiles o predeterminadas para obtener acceso.
T1562.004 (Impair Defenses: Disable or Modify System Firewall): Modifica las reglas del firewall para mantener su posición.
T1498 (Network Denial of Service): Ejecuta ataques DDoS como su función principal.
Indicadores de compromiso (IoCs)
Presta atención a estas señales:
Tráfico saliente inusual en puertos UDP, a menudo relacionado con actividad DHT.
Aumento del uso de CPU en dispositivos IoT.
Conexiones a direcciones IP o dominios maliciosos conocidos asociados con Mozi.
Archivos depositados en /tmp u otros directorios temporales con nombres como mozi.a o mozi.m.
Acceso bloqueado a puertos de administración estándar como Telnet o SSH.
Cómo saber si estás infectado con Mozi IoT Botnet
Si tu red está repentinamente lenta o las luces de tu router parpadean sin razón aparente, podrías tener un problema. Los dispositivos infectados suelen mostrar un uso elevado de CPU, actividad de red anormal y pueden dejar de responder. Dado que Mozi bloquea los puertos de acceso remoto, no poder acceder al panel de administración de tu dispositivo podría ser otra señal de alerta. Ejecutar una herramienta de monitoreo de red puede ayudarte a detectar los patrones de tráfico inusuales asociados con el botnet.
Instrucciones para eliminar el botnet de IoT Mozi
Eliminar Mozi puede ser complicado debido a sus mecanismos de persistencia. Un simple reinicio podría detenerlo temporalmente, pero el malware probablemente reinfecte el dispositivo si no se corrige la vulnerabilidad subyacente.
El método de eliminación más efectivo es realizar un restablecimiento de fábrica del dispositivo infectado. Esto eliminará el malware por completo. Después de restablecerlo, es FUNDAMENTAL cambiar de inmediato la contraseña predeterminada por una contraseña fuerte y única. También debes revisar e instalar cualquier actualización de firmware disponible del fabricante para corregir las vulnerabilidades que Mozi explota. Para entornos más complejos, herramientas como Huntress Managed EDR pueden ayudar a detectar y remediar amenazas que ya han logrado un punto de apoyo persistente.
¿Sigue activo el botnet de IoT Mozi?
Aquí es donde la historia se pone interesante. A fines de 2023, se activó un misterioso "interruptor de apagado" que desmanteló de forma efectiva una gran parte del botnet Mozi. Un actor desconocido envió una actualización que desactivó el malware y detuvo sus operaciones. Si bien se neutralizó el botnet principal, algunas variantes podrían seguir existiendo, y el riesgo de reinfección en dispositivos sin parchear permanece. Piensa en él como mayormente inactivo, pero no completamente extinto.
Estrategias de mitigación y prevención
No dejes que tu tostadora se una a un botnet. Aquí tienes algunos pasos sólidos para proteger tu red:
Cambia las contraseñas predeterminadas: Este es el paso más fácil y más importante. Si tu dispositivo todavía usa "admin/admin", te estás buscando problemas.
Parchea, parchea, parchea: Mantén actualizado el firmware de tu dispositivo. Los fabricantes publican parches para corregir las mismas vulnerabilidades que malware como Mozi adora explotar.
Desactiva los servicios que no uses: Si no necesitas Telnet u otros servicios de administración remota, desactívalos.
Usa un firewall: Configura tu firewall para restringir el acceso a los dispositivos IoT desde internet.
Segmentación de redes: Aísla tus dispositivos IoT en un segmento de red separado para evitar que un compromiso se propague a tus sistemas críticos.
Monitoreo continuo: Aquí es donde una solución como Huntress brilla. Con monitoreo 24/7 de nuestro el centro de operaciones de seguridad (SOC), podemos ayudarte a detectar amenazas y responder a ellas antes de que causen daños reales. El Huntress Managed ITDR producto te da la visibilidad que necesitas para mantener seguro tu entorno.
Preguntas frecuentes sobre el malware del botnet de IoT Mozi
Mozi es un botnet de igual a igual (P2P) que infecta dispositivos de internet de las cosas (IoT). Se propaga al explotar contraseñas débiles y vulnerabilidades sin parchear. Una vez infectado, el dispositivo se une a una red descentralizada de otros dispositivos "zombi" para lanzar ataques DDoS, ejecutar comandos maliciosos y robar datos.
Mozi infecta sistemas principalmente al escanear internet en busca de dispositivos IoT con puertos Telnet expuestos. Luego usa una lista de credenciales predeterminadas comunes para entrar por fuerza bruta. También aprovecha vulnerabilidades conocidas de ejecución remota de código para comprometer y controlar dispositivos sin parches.
El botnet principal de Mozi fue desmantelado en gran parte a fines de 2023 por un misterioso interruptor de apagado. Sin embargo, la amenaza no ha desaparecido por completo. Los dispositivos sin parches siguen siendo vulnerables a la reinfección por variantes restantes o malware imitador, así que es esencial mantenerse alerta y mantener los sistemas protegidos.
Las organizaciones pueden protegerse al exigir contraseñas robustas y únicas en todos los dispositivos IoT y al desactivar las credenciales predeterminadas. También es fundamental actualizar regularmente el firmware de los dispositivos, desactivar servicios innecesarios como Telnet y segmentar los dispositivos IoT en la red. Usar una solución de detección y respuesta administrada puede dar un monitoreo continuo para detectar amenazas a tiempo.
