Hemos descubierto una versión actualizada del malware Bashlite diseñada para añadir dispositivos de Internet de las Cosas infectados a una botnet de denegación de servicio distribuida (DDoS). Trend Micro detecta este malware como Backdoor.Linux.BASHLITE.SMJC4, Backdoor.Linux.BASHLITE.AMF , Troj.ELF.TRX.XXELFC1DFF002 y Trojan.SH.BASHDLOD.AMF . Basado en el módulo Metasploit que explota, el malware ataca dispositivos con la interfaz de programación de aplicaciones (API) WeMo Universal Plug and Play (UPnP). Bashlite (también conocido como Gafgyt, Lizkebab, Qbot, Torlus y LizardStresser) se hizo famoso en 2014 por su uso en ataques DDoS a gran escala, pero desde entonces ha extendido su actividad a dispositivos IoT. En sus versiones anteriores, Bashlite explotaba la vulnerabilidad Shellshock para infiltrarse en los dispositivos. Un atacante puede entonces enviar comandos de forma remota —en particular, para lanzar ataques DDoS similares a los de 2016— y descargar otros archivos a los dispositivos comprometidos. Esta versión actualizada de Bashlite es notable. Para empezar, su método de llegada es único, ya que no se basa en vulnerabilidades específicas (por ejemplo, fallos de seguridad identificados con CVE). En cambio, aprovecha un módulo de Metasploit de ejecución remota de código (RCE) disponible públicamente. Ahora también incluye comandos adicionales relacionados con ataques DDoS y nuevos comandos que le otorgan al malware capacidades de minería de criptomonedas y puertas traseras. Además, puede distribuir malware que elimina malware de botnets competidoras. La vulnerabilidad utilizada no incluye una lista de dispositivos WeMo objetivo. Solo necesita verificar si el dispositivo tiene habilitada la API UPnP de WeMo. El impacto podría ser significativo. Los productos de automatización del hogar de WeMo, por ejemplo, abarcan desde cámaras, enchufes, interruptores y bombillas conectados a internet hasta sensores de movimiento. Cuenta con una aplicación móvil que utiliza la red Wi-Fi para controlar de forma inalámbrica los dispositivos IoT. Si bien no hemos detectado casos significativos de estas versiones de Bashlite, cabe destacar que ya circulan, según la información de Trend Micro™ Smart Protection Network™ . Las detecciones, registradas el pasado 21 de marzo, se observaron en Taiwán, Estados Unidos, Tailandia, Malasia, Japón y Canadá. Compartimos nuestros hallazgos con Belkin. La compañía emitió un comunicado oficial sobre las vulnerabilidades que explota el malware: «Belkin está comprometida con la seguridad de sus productos y clientes. La vulnerabilidad descrita en este artículo se detectó y se corrigió en 2015 para todos los dispositivos afectados. Recomendamos encarecidamente a los clientes que actualicen sus dispositivos y aplicaciones móviles para obtener las últimas actualizaciones de seguridad». Figura 1. Cadena de infección de Bashlite Cadena de infección Algunas de las muestras de Bashlite que analizamos parecen diferir según las arquitecturas que infectan. Estas versiones recientes de Bashlite utilizan un escáner Telnet y realizan un ataque de fuerza bruta contra el dispositivo con los siguientes nombres de usuario y contraseñas: root, 9615-cdp, admin, admin123, huigu309, xc3511, vizxv y Dvrdvs. Bashlite utiliza el escáner para encontrar posibles máquinas que infectar. A continuación, envía un binario de descarga (XOR-red, con clave=0x54) a la máquina vulnerable. Cabe destacar la forma en que se supone que el binario de descarga recupera e instala el malware de la botnet Hakai , cuyo código se basa en Bashlite y que se detectó atacando routers el año pasado. Sin embargo, la URL desde la que se supone que se descarga Hakai ya no está disponible. Bashlite incluye varios binarios de descarga integrados, diseñados para diferentes arquitecturas. La figura 3 muestra cómo se recuperan e instalan los binarios integrados. Como parte de su comunicación de comando y control (C&C), el dropper binario se conecta a 178[.]128[.]185[.]250/hakai[.]x86. También se conecta a 185[.]244[.]25[.]213:3437 para las rutinas de puerta trasera de Bashlite. Capacidades de puerta trasera y DDoS Entre los comandos más destacados de Bashlite se incluyen el lanzamiento simultáneo de múltiples tipos de ataques DDoS contra un objetivo, así como la descarga y ejecución de malware para la minería de criptomonedas y el bloqueo de dispositivos. También contiene código diseñado para eludir los servicios de mitigación de ataques DDoS. Aquí tenéis algunos comandos de acceso no autorizado de Bashlite: PINGING: Similar a un mensaje de chat de retransmisión de Internet (IRC); el malware responde con PONGING. ECHOSCAN: Activa o desactiva el escáner Telnet. OELINUX: Similar a ECHOSCAN, pero orientado a sistemas embebidos. CFBYPASS: Se utiliza para eludir un servicio de mitigación de ataques DDoS. Bashlite puede lanzar varios tipos de ataques DDoS utilizando estos comandos: HOLD: Se conecta a una dirección IP y un puerto, y se mantiene durante un tiempo determinado. BASURA: Igual que RETENCIÓN, pero además envía una cadena generada aleatoriamente a la dirección IP. UDP: Inundar el objetivo con paquetes del protocolo de datagramas de usuario (UDP). ACK: Envía señales de acuse de recibo (ACK) para interrumpir la actividad de la red. VSE: Un ataque de amplificación utilizado para consumir los recursos de un objetivo (por ejemplo, un servidor). TCP: Envía numerosas solicitudes basadas en el protocolo de control de transmisión (TCP). OVH: Ataque DDoS diseñado para eludir un servicio de mitigación de DDoS. STD: Similar a UDP (inundar el objetivo con paquetes UDP) GRANADA: Ejecuta todos los comandos DDoS. Bashlite cuenta con otros comandos destacables. Por ejemplo, BRICKER descarga y ejecuta un malware de tipo bricker desde una URL específica para, presumiblemente, eliminar bots de la competencia. MINER descarga y ejecuta un malware de minería de criptomonedas en la máquina infectada, mientras que PKILL finaliza un proceso específico. La seguridad del IoT no debería ser una cuestión secundaria. Si bien los dispositivos conectados —desde los utilizados en hogares inteligentes hasta los entornos complejos de IoT— brindan comodidad y eficiencia, también pueden presentar riesgos si se configuran incorrectamente o se dejan sin protección. Bashlite es solo una de las muchas amenazas que podrían poner en peligro la privacidad, la seguridad e incluso la integridad de los usuarios. Hemos visto, por ejemplo, cómo algunas de estas amenazas se aprovechan de dispositivos UPnP expuestos que no cuentan con parches para vulnerabilidades conocidas. Los diseñadores y fabricantes de equipos deben integrar la seguridad en el ciclo de vida de desarrollo de sus productos. Las organizaciones que adoptan políticas BYOD para el uso de dispositivos IoT en el lugar de trabajo deben equilibrar las ventajas de la movilidad y la necesidad de seguridad. Los usuarios también deben adoptar las mejores prácticas . Trend Micro Home Network Security™ protege a los usuarios de esta amenaza mediante esta regla de prevención de intrusiones: 1135463 – WEB Belkin Wemo UPnP Ejecución remota de código La solución Trend Micro™ Deep Discovery Inspector™ protege a los clientes de ataques relacionados mediante esta regla DDI: 2860 – Belkin Wemo UPnP Ejecución remota de código Indicadores de compromiso (IoC) Hashes relacionados (SHA-256): 81cbb253ef6ad4803e3918883eed3ec6306ef12e7933c5723bd720d55d13a46a — Puerta trasera.Linux.BASHLITE.SMJC4 01570ee09d63579afc77a44295aeb06c1cc826ae6f0aa9423915ea4ecfd9899f — Trojan.SH.BASHDLOD.AMF Detectado como Backdoor.Linux.BASHLITE.AMF (SHA-256): 2d896a7e4db137024b947ca5be79fd0497f50f3a0ad2edf07455d3b35a40735b fe887192440d1a7c6199593dfab52362a22e187d80879c89eba72f1659e82d0b 506e4824beb216a33ed7cb1fe98637091f603b93df789f3819c624f5e3e19b80 9ce735506f6cb663d4a4617da99b75262dc937c62c2afda0509adc49745c1554 d9faa3e129a72a9908eafc25d4ecc54aca77da2714471db45d191520bc6075f4 323b4260e8fbfb46461ff017882832ed195821e855a473a0b0e15ace5ad8b2ef 8da4b0d63aa6824e454ec3786093d2fb18d1ba89ddc5510221b076058db0bb19 bcb19d156b089cabc2b89f31e36b577be700ea489dd8c1ef69cbcb95585ef05c 21c740671cad8dc67b5504e0d5e6cf0a92864ea87c075f1ebdff419e95263077 ba47ec0a9f2dedb169590f607f96cc889f4b9e465ce9334502a09997e74c4334 31607153ce9edec754027b3ea2ddc3b6c3f13532c2e78b54a89dbeb09b4efd43 d2aeb3beadbdfe9d44521551ce44661595a51ce9bb9e1c317b74e173ab65c6fa URLs maliciosas relacionadas: hxxp://185[.]244[.]25[.]213/ECHOBOT[.]mips hxxp://185[.]244[.]25[.]213/UqHDZbqr9S[.]sh
Bashlite (also known as Gafgyt, Lizkebab, Qbot, Torlus, and LizardStresser) gained notoriety for its use in large-scale DDoS attacks in 2014, but it has since crossed over to infecting IoT devices. In its previous iterations, Bashlite exploited Shellshock to gain a foothold into the vulnerable devices. An attacker can then remotely issue commands — particularly, to launch DDoS attacks similar to the way it was used in 2016 — and download other files to the compromised devices.
This updated iteration of Bashlite is notable. For one, its arrival method is unique in that it doesn’t rely on specific vulnerabilities (e.g., security flaws assigned with CVEs). It instead abuses a publicly available remote-code-execution (RCE) Metasploit module. It now also sports additional DDoS-related commands, and added new ones that gave the malware cryptocurrency mining and backdoor capabilities. It can also deliver malware that removes competing botnet malware.
The exploit used doesn’t have a list of targeted WeMo devices. It only needs to check if the device is enabled with the WeMo UPnP API. The impact could be significant. WeMo’s home automation products, for instance, range from internet-connected cameras, electrical plugs, and light switches and bulbs to motion sensors. It has a mobile application that uses the Wi-Fi network to wirelessly control IoT devices.
While we have not seen significant detections for these versions of Bashlite, it’s worth noting that it’s already in the wild, based on feedback from Trend Micro™ Smart Protection Network™. The detections, seen last March 21, were observed in Taiwan, United States, Thailand, Malaysia, Japan, and Canada.
We disclosed our findings to Belkin. The company has since released an official statement regarding the vulnerabilities that the malware targets. “Belkin is committed to product and customer security. The vulnerability described in this article was detected and remediated in 2015 for all affected devices.We strongly encourage customers to update their devices and mobile apps to obtain the latest security fixes.”
Figure 1. Bashlite infection chain
Infection chain
Some of the Bashlite samples we analyzed appear to differ depending on the architectures they infect. These recent Bashlite iterations use a Telnet scanner and brute force the device with these usernames and passwords: root, 9615-cdp, admin, admin123, huigu309, xc3511, vizxv, and Dvrdvs.
Bashlite uses the scanner to find possible machines to infect. It will then send a dropper binary (XORred, with key=0x54) to the vulnerable machine. Of note here is the way the binary dropper is supposed to retrieve and drop the Hakai botnet malware, whose code is based on Bashlite and was seen targeting routers last year. However, the URL from which Hakai is supposed to be downloaded is no longer accessible. There are multiple dropper binaries embedded in Bashlite, designed for different architectures. Figure 3 shows how the embedded binaries are retrieved and dumped.
As part of its command-and-control (C&C) communication, the binary dropper connects to 178[.]128[.]185[.]250/hakai[.]x86. It also connects to 185[.]244[.]25[.]213:3437 for Bashlite’s backdoor routines.
Backdoor and DDoS capabilities
The most notable of Bashlite’s backdoor commands include simultaneously launching multiple types of DDoS floods to a target as well as downloading and executing cryptocurrency-mining and bricking malware. It also has code designed to circumvent a DDoS mitigation service.
Here are some of Bashlite’s backdoor commands:
- PINGING: Similar to an internet relay chat (IRC) message; the malware replies with PONGING.
- ECHOSCAN: Toggles the Telnet scanner.
- OELINUX: Similar to ECHOSCAN but targets embedded systems.
- CFBYPASS: Used to bypass a DDoS mitigation service
Bashlite can launch several types of DDoS attacks using these commands:
- HOLD: Connects to an IP address and port, and sustained for a specified time.
- JUNK: Same as HOLD but also sends a randomly generated string to the IP address.
- UDP: Flood target with user datagram protocol (UDP) packets.
- ACK: Send acknowledgment (ACK) signals to disrupt network activity.
- VSE: An amplification attack used to consume the resources of a target (e.g., server).
- TCP: Send numerous transmission control protocol-based (TCP) requests.
- OVH: DDoS attack designed to bypass a DDoS mitigation service
- STD: Similar to UDP (flooding the target with UDP packets)
- GRENADE: Launch all the DDoS commands.
Bashlite has other notable commands. For example, BRICKER downloads and executes a bricker malware from a specified URL to presumably eliminate competing bots. MINER downloads and executes a cryptocurrency-mining malware on the infected machine, while PKILL terminates a specified process.
IoT security shouldn’t be an afterthought
While connected devices — from those used in smart homes to complex IoT environments — provide convenience and efficiency, they can also come with risks if improperly configured or left unsecured. Bashlite is just one of the many threats that could threaten the privacy, security, and even safety of users. We’ve seen some of these threats, for example, take advantage of exposed UPnP-enabled devices that don’t have patches for known vulnerabilities. Equipment designers and manufacturers must integrate security into the development life cycle of their products. Organizations that adopt BYOD policies for IoT device use in the workplace must balance the advantages of mobility and the need for security. Users should also adopt best practices.
Trend Micro Home Network Security™ protects users from this threat via this intrusion prevention rule:
- 1135463 – WEB Belkin Wemo UPnP Remote Code Execution
The Trend Micro™ Deep Discovery Inspector™ solution protects customers from related attacks via this DDI rule:
- 2860 – Belkin Wemo UPnP Remote Code Execution
Indicators of compromise (IoCs)
Related hashes (SHA-256):
- 81cbb253ef6ad4803e3918883eed3ec6306ef12e7933c5723bd720d55d13a46a — Backdoor.Linux.BASHLITE.SMJC4
- 01570ee09d63579afc77a44295aeb06c1cc826ae6f0aa9423915ea4ecfd9899f — Trojan.SH.BASHDLOD.AMF
Detected as Backdoor.Linux.BASHLITE.AMF (SHA-256):
- 2d896a7e4db137024b947ca5be79fd0497f50f3a0ad2edf07455d3b35a40735b
- fe887192440d1a7c6199593dfab52362a22e187d80879c89eba72f1659e82d0b
- 506e4824beb216a33ed7cb1fe98637091f603b93df789f3819c624f5e3e19b80
- 9ce735506f6cb663d4a4617da99b75262dc937c62c2afda0509adc49745c1554
- d9faa3e129a72a9908eafc25d4ecc54aca77da2714471db45d191520bc6075f4
- 323b4260e8fbfb46461ff017882832ed195821e855a473a0b0e15ace5ad8b2ef
- 8da4b0d63aa6824e454ec3786093d2fb18d1ba89ddc5510221b076058db0bb19
- bcb19d156b089cabc2b89f31e36b577be700ea489dd8c1ef69cbcb95585ef05c
- 21c740671cad8dc67b5504e0d5e6cf0a92864ea87c075f1ebdff419e95263077
- ba47ec0a9f2dedb169590f607f96cc889f4b9e465ce9334502a09997e74c4334
- 31607153ce9edec754027b3ea2ddc3b6c3f13532c2e78b54a89dbeb09b4efd43
- d2aeb3beadbdfe9d44521551ce44661595a51ce9bb9e1c317b74e173ab65c6fa
Related malicious URLs:
- hxxp://185[.]244[.]25[.]213/ECHOBOT[.]mips
- hxxp://185[.]244[.]25[.]213/UqHDZbqr9S[.]sh