La botnet «KashmirBlack», que se cree que comenzó su expansión a finales de 2019, ataca a los principales gestores de contenido (CMS) como WordPress, Joomla, Vbulletin, y OsCommerce. Esta botnet, que comprende cientos de miles de sistemas secuestrados, está explotando numerosas vulnerabilidades de los citados CMS’s.
La investigación de la empresa de ciberseguridad Imperva revela una operación compleja formada por: un servidor de comando y control (C2) y más de 60 servidores que se comunican con los bots para captar nuevos objetivos, lo que le permite expandir el tamaño de la botnet rápidamente mediante ataques de fuerza bruta e instalación de backdoors.
El propósito principal de KashmirBlack es utilizar los recursos de los sistemas comprometidos (CPU, GPU) para la minería de criptomonedas Monero y redirigir el tráfico legítimo de un sitio web a páginas de spam.
La explotación comienzan haciendo uso de la vulnerabilidad PHPUnit RCE (CVE-2017-9841) para infectar a los clientes con el payload que se comunicará posteriormente con el servidor C2.
Si bien el CVE-2017-9841 se usa para convertir a una víctima en un bot que se propage, la explotación de las numerosas vulnerabilidades en los sistemas CMS lleva a que el sitio de la víctima se convierta en un nuevo bot pendiente de la botnet.
La infraestructura de KashmirBlack es compleja y comprende una serie de partes móviles, incluidos dos repositorios separados: uno para albergar exploits y payloads, y el otro para almacenar el script malicioso para la comunicación con el servidor C2.
Los investigadores hallaron que la botnet usaba Dropbox como reemplazo de su infraestructura C2, abusando de la API del servicio de almacenamiento en la nube para obtener instrucciones de ataque y cargar informes de ataque de los bots que se propagan.
