Botnet FreakOut lanza agrega nuevas herramientas de explotación en sus ataques

Los actores de amenazas detrás de FreakOut, también conocido como Necro botnet, han agregado nuevas herramientas de explotación a su arsenal. Se cree que esta nueva actualización de la botnet -basada en Python- causa más problemas en Windows y Linux. La botnet apareció por primera vez en el panorama de amenazas en noviembre de 2020, […]

Los actores de amenazas detrás de FreakOut, también conocido como Necro botnet, han agregado nuevas herramientas de explotación a su arsenal. Se cree que esta nueva actualización de la botnet -basada en Python- causa más problemas en Windows y Linux.

La botnet apareció por primera vez en el panorama de amenazas en noviembre de 2020, con ataques destinados a comprometer los sistemas objetivo para lanzar ataques DDoS y cripto minería.

En junio de 2021, esta botnet multiplataforma basada en Python se actualizó con capacidades similares a gusanos junto con la adición de nuevos exploits para vulnerabilidades que afectan a VMware vSphere, SCO OpenServer, Vesta Control Panel.

Aunque la funcionalidad principal de la botnet incluía la minería de la criptomoneda Monero, la inclusión de nuevos exploits permitió a los atacantes atrapar más dispositivos para formar un ejército de bots.

Hacia fines de septiembre de 2021, los investigadores de Juniper Threat Labs observaron una nueva actividad de FreakOut, también conocida como 3Cr0m0rPh, que resultó en la adquisición de Visual Tools DVR.

Entre las -varias- características nuevas, se incluye un exploit para la vulnerabilidad dirigida a Visual Tools DVR VX16 4.2.28.0 de visual-tools.com. La explotación exitosa de la falla puede permitir a los actores descargar en el dispositivo DVR e instalar un minero Monero.
Además, el dispositivo podría incorporarse al enjambre de DDoS de la botnet.

Otro aspecto interesante de la nueva botnet es el uso del algoritmo de generación de dominios (DGA) para comunicarse con sus servidores C2.
La botnet también parece estar generando 253 dominios pseudoaleatorios únicos para evadir las marcas de dominio y las eliminaciones que reducen su efectividad. Algunas otras características nuevas incluyen los nuevos proxies TOR Socks compatibles con DDoS y la exclusión de los escáneres SMB.