Qué es

Condi es una variante de botnet diseñada para dispositivos IoT, clasificada como malware similar a Mirai. Se reporta en el contexto de ataques que intentan explotar la vulnerabilidad CVE-2023-33538 en routers Wi-Fi de TP-Link que han alcanzado su fin de vida útil. La evidencia indica que los ataques en el mundo real contenían defectos críticos, como la falta de autenticación requerida para la explotación exitosa.

Cómo llega

Utiliza la vulnerabilidad CVE-2023-33538 para intentar inyectar comandos en los routers. El vector de ataque falla en la práctica porque apunta al parámetro ssid en lugar de ssid1, carece de las credenciales de autenticación requeridas y asume la presencia de utilidades inexistentes en el firmware.

Qué hace una vez dentro

Intenta desplegar malware de botnet similar a Mirai en los dispositivos comprometidos. La explotación busca inyectar comandos a través de la vulnerabilidad CVE-2023-33538. Sin embargo, los ataques observados fallaron porque utilizaron el parámetro incorrecto, omitieron la autenticación necesaria y dependieron de utilidades que no existen en el firmware del router.

A quién ataca

Apunta específicamente a routers Wi-Fi de la marca TP-Link que han alcanzado su fin de vida útil. Los modelos afectados incluyen TL-WR940N, TL-WR740N y TL-WR841N. No se especifican sectores industriales ni regiones geográficas adicionales en la evidencia proporcionada.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: A Deep Dive Into Attempted Exploitation of CVE-2023-33538