"Necurs es la multiherramienta de las botnets, que evolucionó de operar como una botnet de spams que enviaba troyanos y ransomware bancarios, a desarrollar un servicio proxy, como así también capacidades de criptominería y de DDoS," comentó Mike Benjamin, líder de Black Lotus Labs. "Resulta particularmente interesante la cadencia regular de Necurs de tornarse oscura para evitar la detección, reemergiendo para enviar nuevos comandos a los hosts infectados y luego volverse oscura nuevamente. Esta técnica es una de las muchas razones por las cuales Necurs ha podido expandirse a más de medio millón de bots en todo el mundo."

Aprendizajes clave

• Desde mayo de 2018, Black Lotus Labs observó un tiempo de inactividad regular y sostenido de aproximadamente dos semanas, seguido de aproximadamente tres semanas de actividad para los tres grupos más activos de bots -entre los que se encuentra Necurs.
• Las casi 570.000 bots de Necurs están distribuidas globalmente, y alrededor de la mitad de ellas está ubicada en los siguientes países, por orden de prevalencia: India, Indonesia, Vietnam, Turquía e Irán.
• Necurs utiliza un algoritmo de generación de dominio (DGA por su sigla en inglés) para ofuscar sus operaciones y evitar el derribamiento de las mismas. Sin embargo, el DGA es un arma de doble filo, porque los dominios de DGA que utilizará Necurs se conocen con antelación, los investigadores de seguridad pueden usar métodos tales como sumidero (sinkholing) de dominios DGA y analizar el tráfico de red y de DNS para enumerar las infraestructuras de bots y de comando y control (C2).
• CenturyLink tomó medidas para mitigar el riesgo de Necurs para los clientes, además de notificar a otros propietarios de redes sobre los dispositivos potencialmente infectados, para ayudar a proteger la internet.

Recursos adicionales

• Descubra cómo ha evolucionado TheMoon a proxy como servicio: http://news.centurylink.com/2019-01-31-TheMoon-Illustrates-Evolving-Threat-of-IoT-Botnets.
• Conozca más acerca del ataque de segunda fase de Mylobot: http://news.centurylink.com/2018-11-14-Mylobot-botnet-delivers-one-two-punch-with-Khalesi-malware.
• Vea cómo está resurgiendo la botnet Satori con nuevos objetivos: http://news.centurylink.com/2018-10-29-Satori-botnet-resurfaces-with-new-targets.

Acerca de CenturyLink
CenturyLink (NYSE: CTL) es el segundo mayor proveedor de comunicaciones de los Estados Unidos para clientes corporativos globales. Con clientes en más de 60 países, e Intensamente focalizada en la experiencia del cliente, CenturyLink se esfuerza para ser la mejor compañía de redes del mundo, resolviendo la creciente demanda de los clientes por conexiones confiables y seguras. Asimismo, la empresa actúa como socio de confianza de sus clientes, ayudándolos a administrar las crecientes complejidades de red y de TI, y brindando soluciones gerenciadas de red y de ciberseguridad que los ayuden a proteger sus negocios.

CONTACTO: Stephanie Walkenshaw, +1 720-888-3084, [email protected]