MHDDoS
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
MHDDoS es una familia de agentes de bot en C compilados para 17 arquitecturas, parte de un framework modular para dispositivos IoT. Estos agentes se conectan a un servidor de comando y control en Go con paneles de DDoS por encargo. La evidencia vincula la infraestructura de la operación con el ecosistema Keksec mediante servidores dropper compartidos, aunque no especifica si aplica exclusivamente a este componente.
Cómo llega
La evidencia describe la infección mediante fuerza bruta sobre el acceso Telnet utilizando 1,496 pares de credenciales. El framework incluye capacidades de explotación personalizadas, aunque varios componentes presentan errores funcionales por código generado por modelos de lenguaje sin revisión manual. La base de datos asocia la operación con una lista extensa de CVE, incluyendo CVE-2007-3010, CVE-2014-8361, CVE-2016-11021, CVE-2018-10561, CVE-2018-10562, CVE-2018-20062, CVE-2020-8515, CVE-2022-1388, CVE-2022-22947, CVE-2022-22965, CVE-2022-30525, CVE-2022-44877, CVE-2023-1389 y CVE-2023-39780. No se mencionan señuelos específicos en la evidencia.
Qué hace una vez dentro
En el equipo comprometido, el agente de bot ejecuta fuerza bruta sobre el acceso Telnet utilizando 1,496 pares de credenciales. El framework incluye capacidades de explotación personalizadas y múltiples mecanismos de respaldo para el comando y control. Estos incluyen algoritmos de generación de dominios, comunicación par a par por chismes, IRC y consultas DNS TXT. Varios de estos componentes presentan errores funcionales debido a código generado por modelos de lenguaje sin revisión manual.
A quién ataca
Apunta directamente a dispositivos de Internet de las Cosas. La evidencia indica que los agentes de bot se enfocan en más de 30 familias de dispositivos IoT. No se especifican sectores industriales ni regiones geográficas concretas en las fuentes proporcionadas, limitando el alcance a la categoría general de hardware conectado.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | Python | T1059.006 |
| Ejecución | Software Deployment Tools | T1072 |
| Persistencia | External Remote Services | T1133 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Movimiento lateral | SSH | T1021.004 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Remote Access Tools | T1219 |
| Comando y control | Non-Standard Port | T1571 |
| Impacto | Network Denial of Service | T1498 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
