C0XMO
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
C0XMO es una variante de la botnet Gafgyt. Su característica distintiva es separar las capacidades de movimiento lateral en un script Python independiente. Esta arquitectura permite atacar de manera eficiente múltiples plataformas de sistema operativo.
Cómo llega
Entra explotando una vulnerabilidad de desbordamiento de búfer en la pila del firmware de routers DD-WRT. No se mencionan señuelos o ingeniería social en la evidencia.
Qué hace una vez dentro
Explota una vulnerabilidad de desbordamiento de búfer en la pila del firmware para propagarse. Establece persistencia en el sistema mediante la creación de trabajos cron y procesos de shell. Utiliza un script Python independiente para ejecutar sus capacidades de movimiento lateral hacia otros dispositivos.
A quién ataca
Apunta a routers que ejecutan el firmware DD-WRT. El malware está diseñado para operar en arquitecturas de procesador ARM, MIPS, PowerPC y x86. No se especifican sectores industriales ni regiones geográficas específicas en la evidencia proporcionada.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Scanning IP Blocks | T1595.001 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Python | T1059.006 |
| Ejecución | Native API | T1106 |
| Persistencia | RC Scripts | T1037.004 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Create Account | T1136 |
| Persistencia | Windows Service | T1543.003 |
| Acceso a credenciales | Password Guessing | T1110.001 |
| Descubrimiento | Network Service Discovery | T1046 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Windows Remote Management | T1021.006 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Non-Standard Port | T1571 |
| Impacto | Data Encrypted for Impact | T1486 |
| Impacto | Network Denial of Service | T1498 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2015-2051 | D-Link DIR-645 Router | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-27137 | DD-WRT DD-WRT | 8.1 | Sí | AlienVault OTX (presunta) |
| CVE-2022-35914 | Teclib GLPI | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
