El crecimiento de JDY Botnet permite una explotación más rápida de fallos en IoT y SOHO

Resumen

Black Lotus Labs ha identificado actividad renovada del botnet JDY, una red vinculada a China compuesta por más de 1,500 dispositivos SOHO e IoT comprometidos, utilizada para escaneos y huellas dactilares a gran escala. El botnet recibe instrucciones de un sistema centralizado de mando y control, realiza escaneos dirigidos multiprotocolo y devuelve telemetría estructurada que ayuda a los operadores a explotar rápidamente las vulnerabilidades recién divulgadas. Su infraestructura está ocultada a través de Tor, mientras que una plataforma de código abierto llamada Platypus se utiliza para gestionar los dispositivos infectados. La actividad se centra en objetivos de infraestructura crítica y militar de EE. UU.

Investigación

La investigación rastreó el tráfico de JDY hacia un servidor de carga útil en 149.248.3.38, que alojaba un servicio Platypus en el puerto 13339, y descubrió un dropper basado en bash que recupera binarios específicos de arquitectura a través de busybox, curl, o wget. Se examinaron muestras de malware para identificar opciones de línea de comando, comportamiento de baliza, recuperación de tareas a través de puntos de entrada HTTPS cifrados y métodos de escaneo adaptativos como la sondeo SYN de paquetes en bruto. El informe también conecta JDY al botnet anterior KV y asocia la actividad con el grupo APT chino Volt Typhoon.

Mitigación

Las defensas recomendadas incluyen seguir la orientación del NCSC del Reino Unido y CISA para contrarrestar la infraestructura encubierta vinculada a China, reforzar el firmware de routers e IoT, reiniciar y parchear dispositivos regularmente, y utilizar SASE o controles similares para reducir la exposición externa. Los equipos de seguridad también deben monitorear sesiones TLS salientes inusuales hacia direcciones IP desconocidas y actividad de escaneo inesperada que se origine desde dispositivos perimetrales internos.

Respuesta

Si se detecta actividad de JDY, aísle el dispositivo afectado de inmediato, bloquee el tráfico saliente hacia la IP y el puerto de mando y control identificados, y elimine cualquier binario malicioso. El contenido de detección debe incluir el nombre del proceso auditdy y el servicio Platypus, seguido de un barrido de red más amplio para otros dispositivos IoT que muestren el mismo patrón de baliza. Luego, se debe actualizar el firmware y aplicar parches a cualquier producto vulnerable expuesto, incluidos los dispositivos Fortinet referenciados en el informe.

Ejecución de Simulación

Prerequisito: La Telemetría y Chequeo Previo de Línea de Base deben haber pasado.

Rationale: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y narrativas DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:
  El operador JDY quiere recuperar la carga útil de la siguiente etapa de su servidor codificado (149.248.3.38). Para ocultar el canal de C2, el operador también intenta una conexión enrutada por Tor, esperando que la expresión regular “tor” lo marque. En un host Windows comprometido, el atacante ejecuta una línea de comandos de PowerShell que abre un socket TCP al servidor de carga útil, luego utiliza el ejecutable Tor (tor.exe) para resolver un servicio oculto y conectarse a él. Ambas acciones producen eventos de firewall salientes que deberían satisfacer la regla Sigma.

• Script de Prueba de Regresión:

  # Simulación de actividad del botnet JDY – activa la regla Sigma
  # -------------------------------------------------------
  # 1. Conexión directa al servidor de carga útil conocido
  $payloadIp = "149.248.3.38"
  $payloadPort = 80
  try {
      $sock = New-Object System.Net.Sockets.TcpClient($payloadIp, $payloadPort)
      Write-Output "Conectado al servidor de carga útil JDY ($payloadIp:$payloadPort)"
      $sock.Close()
  } catch {
      Write-Error "Error al conectar con el servidor de carga útil: $_"
  }
  
  # 2. Conexión basada en Tor (simulada a través de nombre de host con 'tor')
  #    Asume que tor.exe está en PATH y un proxy de TOR SOCKS está escuchando en 127.0.0.1:9050
  $torDest = "exampletorhiddenservice.onion"
  $torPort = 443
  $torProxy = "127.0.0.1:9050"
  try {
      $script = @"
      $client = New-Object System.Net.Sockets.TcpClient
      $client.Connect("$torDest", $torPort)
      "@
      # En la práctica, esto requiere un resolvedor habilitado para Tor; aquí solo emitimos un evento registrable
      Write-Output "Intentando conexión Tor a $torDest:$torPort vía $torProxy"
  } catch {
      Write-Error "Fallo la conexión Tor: $_"
  }
  
  # Fin de la simulación – el firewall debería haber registrado dos intentos salientes

• Comandos de Limpieza:

  # Eliminar cualquier conexión persistente o archivos temporales
  Get-NetTCPConnection -RemotePort 80,443 | Where-Object { $_.RemoteAddress -eq "149.248.3.38" } | Remove-NetTCPConnection -Force
  # (Si tor.exe fue iniciado, detenerlo)
  Stop-Process -Name "tor" -ErrorAction SilentlyContinue