14 de noviembre de 2016

Los expertos de la empresa Doctor Web detectaron una serie de ataques DDoS a los sitios web de los bancos rusos «Rosbank» y «Roseksimbank». Para realizarlo, los malintencionados usan el troyano BackDoor.IRC.Medusa.1.

BackDoor.IRC.Medusa.1 — es un programa nocivo de la categoría de botnets IRC. Así se llaman los troyanos capaces de crear botnets y recibir comando usando el protocolo de intercambio de mensajes de texto IRC (Internet Relay Chat). Al conectarse a un canal de chat determinado, los bots IRC esperan unas directivas especiales de los malintencionados. La función principal de BackDoor.IRC.Medusa.1 es realizar los ataques de rechazo de servicio (ataques DDoS). Los analistas de virus de la empresa Doctor Web suponen que este programa nocivo fue usado para ataques masivos a Sberbank de Rusia, de lo cual varios medios de comunicación informaron últimamente.

BackDoor.IRC.Medusa.1 puede realizar varios tipos de ataques DDoS, así mismo, por comando de los malintencionados, puede descargar e iniciar en un equipo infectado los archivos ejecutables. En la figura más abajo puede consultarse una guía del operador de una botnet, publicada por los creadores de virus y creada usando el troyano BackDoor.IRC.Medusa.1, que contiene un listado de comandos soportados por el troyano:

BackDoor.IRC.Medusa.1 puede realizar varios tipos de ataques DDoS, así mismo, por comando de los malintencionados, puede descargar e iniciar en un equipo infectado los archivos ejecutables. En la figura más abajo puede consultarse una guía del operador de una botnet, publicada por los creadores de virus y creada usando el troyano BackDoor.IRC.Medusa.1, que contiene un listado de comandos soportados por el troyano:

Actualmente en un canal IRC que controla la botnet BackDoor.IRC.Medusa.1, tiene registradas 314 conexiones activas. El análisis del registro de comandos transferidos a la Bonet confirma que de 11 a 14 de noviembre de 2016 los malintencionados atacaron más de una vez los sitios web de rosbank.ru («Rosbank»), eximbank.ru («Roseksimbank»), así como fr.livraison.lu y en.livraison.lu (una red de restaurantes Livraison) y korytov-photographer.ru (un sitio web privado).

La firma BackDoor.IRC.Medusa.1 fue añadida a las bases de virus Dr.Web. Los expertos de la empresa Doctor Web siguen supervisando la situación.

Más información sobre el troyano