Ciberseguridad

Esta consiste en enumerar aquellos dispositivos conectados y ejecutar un secuestro de DNS y HTTP, que permiten cambiar la dirección de la URL que el usuario visita por una que redirija a una web maliciosa o, en el caso del secuestro HTTP obtener todas las cookies del resto de webs. El objetivo es que el usuario, de forma inconsciente, descargue nuevo malware en su ordenador.

ZuoRAT, en concreto, usa tres malwares adicionales diseñados específicamente para diferentes dispositivos. Los denominados como CBeacon (Windows) y GoBeacon (Linux o macOS) y Cobalt Strike, que tiene una implementación más amplia. Estos son los encargados de realizar la última fase. Se trata de la carga y descarga de archivos, la ejecución de comandos, etc., desde el propio dispositivo del usuario.

Así puedes evitar que tu router se infecte con el malware ZuoRAT

Lumen, por otro lado, comenta que el malware es muy sofisticado y, por tanto, difícil de detectar. "No se puede exagerar hasta qué punto los actores se esfuerzan por ocultar la infraestructura C2. En primer lugar, para evitar sospechas, entregaron el exploit inicial de un servidor privado virtual (VPS) dedicado que alojaba contenido benigno. A continuación, aprovecharon los routers como C2 proxy que se escondían a plena vista a través de la comunicación de enrutador a enrutador para evitar aún más la detección. Y, por último, rotaban los routers proxy periódicamente para evitar la detección", comenta la compañía. 

Afortunadamente, hay una forma de eliminar a ZuoRAT de los routers. El usuario simplemente debe reiniciar el dispositivo y, para evitar que el malware vuelva a ser cargado de nuevo, restablecerlo a sus valores de fábrica.