Gafgyt
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Gafgyt es una botnet de Internet de las Cosas que se propaga explotando vulnerabilidades en firmware de routers, como DD-WRT. Sus variantes, como C0XMO, utilizan scripts en Python para el movimiento lateral y soportan múltiples arquitecturas de procesador. El malware forma parte de un ecosistema de amenazas dirigidas a dispositivos IoT.
Cómo llega
Se propaga explotando una vulnerabilidad de desborde de búfer en pila en el firmware DD-WRT de los routers.
Qué hace una vez dentro
Explota desbordes de búfer en pila para infectar routers. Establece persistencia y realiza movimiento lateral mediante scripts en Python independientes. Soporta arquitecturas ARM, MIPS, PowerPC y x86.
A quién ataca
Apunta a dispositivos IoT y routers con firmware vulnerable, como DD-WRT. No se especifican sectores industriales ni regiones geográficas concretas en la evidencia.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Scanning IP Blocks | T1595.001 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Python | T1059.006 |
| Ejecución | Native API | T1106 |
| Persistencia | RC Scripts | T1037.004 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Create Account | T1136 |
| Persistencia | Windows Service | T1543.003 |
| Acceso a credenciales | Password Guessing | T1110.001 |
| Descubrimiento | Network Service Discovery | T1046 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Windows Remote Management | T1021.006 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Non-Standard Port | T1571 |
| Impacto | Data Encrypted for Impact | T1486 |
| Impacto | Network Denial of Service | T1498 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2015-2051 | D-Link DIR-645 Router | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-27137 | DD-WRT DD-WRT | 8.1 | Sí | AlienVault OTX (presunta) |
| CVE-2022-35914 | Teclib GLPI | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
