Malware transforma DVRs vulneráveis em botnet para ataques DDoS

Uma nova campanha ligada à variante Mirai, batizada Nexcorium, explora a CVE-2024-3721 para comprometer gravadores digitais TBK. O objetivo é transformá-los em nós de uma botnet voltada a ataques DDoS.

A campanha atua em dispositivos IoT frequentemente negligenciados em ambientes corporativos, varejo e operações de pequeno porte. Os kits maliciosos atingem os modelos DVR-4104 e DVR-4216, por meio de uma falha de injeção de comandos no sistema operacional via manipulação de argumentos mdb e mdc.

Na prática, atacantes remotos enviam um script inicial para baixar e executar o malware conforme a arquitetura do equipamento. O downloader observa nomes iniciados em nexuscorp, altera permissões e lança a carga maliciosa com parâmetros específicos ao dispositivo explorado.

Após infectar, a amostra exibe a mensagem de que o equipamento foi assumido, sinal da operação em curso. A campanha mostra robustez e fogo breve, com atuação já consolidada no espectro de ataques.

Detalhes técnicos

A análise do código revela forte semelhança com a linha Mirai, incluindo configuração ofuscada por XOR, módulo watchdog e componentes dedicados a DDoS. O malware também prevê busca por novos alvos e tentativa de credenciais padrão via Telnet.

Além de se expandir para outros dispositivos vulneráveis, o estágio operacional da botnet recebe comandos de um servidor de controle central. O conjunto permite ações coordenadas de disseminação e ataque.

Vetores de ataque e impacto

A botnet suporta diversos vetores de DDoS, como UDP flood, TCP SYN flood, ACK flood, PSH flood e VSE query flood. Esse leque facilita campanhas volumétricas e a variação de padrões de tráfego malicioso conforme o alvo.