Botnet Meris crea nuevo récord de ataques DDoS

Se ha observado que una nueva botnet batió récords de ataques DDoS, generando 21.8 millones de solicitudes por segundo. Apodada Meris, la botnet apuntaba a la empresa de Internet de Rusia, Yandex. Según los medios rusos, el ataque fue uno de los mayores ataques DDoS en la historia de RuNet, la Internet rusa. La información […]

Se ha observado que una nueva botnet batió récords de ataques DDoS, generando 21.8 millones de solicitudes por segundo. Apodada Meris, la botnet apuntaba a la empresa de Internet de Rusia, Yandex.

Según los medios rusos, el ataque fue uno de los mayores ataques DDoS en la historia de RuNet, la Internet rusa.

La información recopilada de los múltiples ataques reveló que Meris tiene una red de más de 30.000 dispositivos.

La información recopilada por Yandex indica que los ataques a sus servidores utilizaron 56.000 hosts atacantes. Sin embargo, la evidencia sugiere que la cantidad de dispositivos comprometidos es de alrededor de 250.000.

Los ataques de botnet en Yandex comenzaron a principios de agosto con 5,2 millones de RPS y siguieron aumentando en fuerza con 6,5 millones (9 de agosto), 9,6 millones (29 de agosto), 10,9 millones (31 de agosto) y, finalmente, alcanzaron hasta 21,8 millones de RPS en 5 de septiembre.

El equipo de seguridad de Yandex ha revelado completamente la estructura interna de la botnet.

Utiliza túneles L2TP para comunicaciones entre redes. Para realizar el ataque, la botnet utiliza el proxy SOCKS4 en el dispositivo infectado y luego utiliza la técnica DDoS de canalización HTTP.

La mayoría de los dispositivos comprometidos tenían puertos abiertos 5678 y 2000. El puerto 5678 apunta al equipo MikroTik que se utiliza para la función de descubrimiento de vecinos.

Port 2000 significa servidor de prueba de ancho de banda que responde a la conexión entrante con una firma perteneciente al protocolo RouterOS de MikroTik.

El fabricante de equipos de red declaró que la mayoría de sus dispositivos todavía usan firmware antiguo, expuestos a una falla de seguridad ampliamente abusada rastreada como CVE-2018-14847 (parchada en abril de 2018). Sin embargo, en los ataques recientes, algunos de los dispositivos comprometidos también ejecutaban nuevas versiones de RouterOS.