Frank McDougall
Una reciente campaña de Denegación de Servicio Distribuido (DDoS), apodada «Panamorfi», ha generado interés en la comunidad de ciberseguridad. A diferencia de los ataques DDoS tradicionales, esta campaña específicamente apunta a cuadernos Jupyter mal configurados que están expuestos en línea. El actor de amenazas detrás de la campaña, conocido como yawixooo, utiliza una herramienta de DDoS de servidor Minecraft disponible públicamente para sobrecargar los servidores objetivo.
La Anatomía del Ataque
Según investigadores de Aqua Nautilus, el ataque comienza con el actor de amenazas obteniendo acceso inicial a cuadernos accesibles desde internet. Luego proceden a ejecutar un comando que descarga un archivo zip desde una plataforma de intercambio de archivos. El archivo zip, de aproximadamente 17 MB de tamaño y nombrado con una cadena aleatoria de caracteres, contiene dos archivos Jar llamados conn.jar y mineping.jar. Estos archivos Jar eran desconocidos previamente para las empresas de seguridad, con solo una detección para cada uno.
El archivo ‘conn.jar’ juega un papel fundamental en el ataque. Utiliza Discord para controlar la operación DDoS. La máquina de la víctima se conecta a un canal Discord especificado, cargando el archivo ‘mineping.jar’. Este archivo es una conocida herramienta de DDoS de servidor Minecraft disponible en GitHub y contiene múltiples archivos Java para diferentes funcionalidades.
La Ejecución del Ataque
Una vez que se implementa la herramienta de DDoS de servidor Minecraft, el actor de amenazas inicia un ataque de inundación TCP DDoS. El principal objetivo es agotar los recursos del servidor objetivo. Los atacantes han configurado la herramienta para escribir los resultados del ataque directamente en el canal de Discord, lo que les permite monitorear el impacto del ataque en tiempo real.
Mitigando la Amenaza
Afortunadamente, los investigadores de Aqua Nautilus lograron intervenir y detener el ataque implementando una política en tiempo de ejecución que bloquea la ejecución del archivo conn.jar. Tomar estas medidas proactivas neutralizó efectivamente toda la campaña.
Para protegerse contra campañas similares, es crucial seguir estas estrategias de mitigación:
– Implementar prácticas seguras para restringir el acceso a los cuadernos Jupyter.
– Bloquear la ejecución de archivos asociados con la campaña, como conn.jar y mineping.jar.
– Limitar la ejecución de código dentro de los cuadernos Jupyter.
– Actualizar regularmente los cuadernos Jupyter con los últimos parches de seguridad.
Además, es recomendable evitar compartir información sensible o credenciales en cuadernos Jupyter, ya que pueden convertirse en objetivos atractivos para los actores de amenazas.
Al mantenerse vigilantes y adoptar estas medidas defensivas, los profesionales de datos como ingenieros de datos, analistas de datos y científicos de datos pueden protegerse de la campaña de DDoS Panamorfi y ataques similares en el futuro.
