Qué es

Tsunami es un agente de botnet modular para dispositivos IoT escrito en lenguaje C. Forma parte de un framework que incluye un servidor de comando y control desarrollado en Go. La evidencia indica que el código fue generado parcialmente con modelos de lenguaje grandes, lo que introdujo errores no revisados manualmente. Se reporta como una operación vinculada al ecosistema Keksec a través de servidores compartidos.

Cómo llega

El vector inicial es la fuerza bruta de credenciales en Telnet. La base de datos asocia la herramienta con catorce vulnerabilidades específicas, incluyendo CVE-2007-3010, CVE-2014-8361, CVE-2016-11021, CVE-2018-10561, CVE-2018-10562, CVE-2018-20062, CVE-2020-8515, CVE-2022-1388, CVE-2022-22947, CVE-2022-22965, CVE-2022-30525, CVE-2022-44877, CVE-2023-1389 y CVE-2023-39780.

Qué hace una vez dentro

Los agentes ejecutan fuerza bruta sobre el protocolo Telnet utilizando mil cuatrocientos noventa y seis pares de credenciales. El servidor de comando y control ofrece un panel para servicios de denegación de servicio distribuido bajo demanda. Incluye mecanismos de respaldo de comunicación mediante algoritmos de generación de dominios, chismes entre pares, IRC y consultas DNS TXT.

A quién ataca

Apunta específicamente a dispositivos de Internet de las Cosas. La evidencia detalla que los agentes buscan infectar más de treinta familias de dispositivos distintos. No se especifican sectores industriales, regiones geográficas o plataformas operativas específicas más allá de la categoría general de hardware IoT.

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Inside an IoT Botnet Framework With LLM-Assisted Development