La botnet Quad7 se expande para atacar routers SOHO y dispositivos VPN

Los operadores de la enigmática botnet Quad7 están evolucionando activamente al comprometer routers SOHO y dispositivos VPN de varias marcas, aprovechando una combinación de vulnerabilidades conocidas y desconocidas.

Según un nuevo informe de la empresa de ciberseguridad francesa Sekoia, los dispositivos afectados incluyen equipos de TP-LINK, Zyxel, Asus, Axentra, D-Link y NETGEAR.

“Los operadores de la botnet Quad7 parecen estar mejorando su conjunto de herramientas, introduciendo un nuevo backdoor y explorando nuevos protocolos, con el objetivo de aumentar el sigilo y evadir las capacidades de seguimiento de sus cajas de retransmisión operativas (ORBs)”, afirmaron los investigadores Felix Aimé, Pierre-Antoine D. y Charles M.

Quad7, también conocida como 7777, fue documentada por primera vez en octubre de 2023 por el investigador independiente Gi7w0rm, quien destacó cómo esta botnet infectaba routers TP-Link y grabadoras de video digital (DVR) Dahua para integrarlos en su red.

 

Ciberseguridad

La botnet recibe su nombre debido a que abre el puerto TCP 7777 en los dispositivos comprometidos. Se ha observado que utiliza ataques de fuerza bruta contra instancias de Microsoft 365 y Azure.

“Además de routers TP-Link, también parece infectar otros sistemas como dispositivos MVPower, Zyxel NAS y servidores GitLab, aunque en volúmenes muy bajos”, señaló Jacob Baines, de VulnCheck, en enero de este año. “La botnet no solo inicia un servicio en el puerto 7777, sino que también habilita un servidor SOCKS5 en el puerto 11228”.

Análisis posteriores realizados por Sekoia y Team Cymru han revelado que la botnet no solo ha comprometido routers TP-Link en Bulgaria, Rusia, EE.UU. y Ucrania, sino que también ha ampliado sus objetivos a routers ASUS con los puertos TCP 63256 y 63260 abiertos.

 

Quad7 Botnet

 

Los hallazgos más recientes muestran que la botnet se compone de tres clusters adicionales:

• xlogin (también conocida como botnet 7777): Botnet que compromete routers TP-Link con los puertos TCP 7777 y 11288 abiertos.
• alogin (también conocida como botnet 63256): Botnet que compromete routers ASUS con los puertos TCP 63256 y 63260 abiertos.
• rlogin: Botnet que compromete dispositivos Ruckus Wireless con el puerto TCP 63210 abierto.
• axlogin: Botnet que tiene como objetivo dispositivos NAS de Axentra (aún no detectada en el entorno salvaje).
• zylogin: Botnet que compromete dispositivos VPN de Zyxel con el puerto TCP 3256 abierto.

Sekoia informó a  que los países con más infecciones son Bulgaria (1,093), EE.UU. (733) y Ucrania (697).

Ciberseguridad

En un nuevo signo de evolución táctica, los actores de amenaza ahora utilizan un nuevo backdoor llamado UPDTAE, que establece un shell inverso basado en HTTP para controlar de manera remota los dispositivos infectados y ejecutar comandos enviados desde un servidor de comando y control (C2).

Todavía no está claro cuál es el propósito exacto de la botnet o quién está detrás de ella, pero Sekoia sugiere que podría tratarse de un actor de amenaza patrocinado por el estado chino.

“En relación con la botnet 7777, solo hemos visto intentos de fuerza bruta contra cuentas de Microsoft 365”, comentó Aimé. “Para las otras botnets, aún no sabemos cómo están siendo utilizadas”.

“Sin embargo, tras intercambios con otros investigadores y nuevos descubrimientos, estamos casi seguros de que los operadores están más ligados al estado chino que a simples cibercriminales dedicados al compromiso de correos electrónicos empresariales (BEC)”.

“Estamos observando que el actor de amenaza intenta ser más sigiloso utilizando nuevos malware en los dispositivos comprometidos en el borde de la red. El objetivo principal detrás de este movimiento es evitar el rastreo de las botnets afiliadas.”

 

---

 

English Version

Quad7 Botnet Expands to Target SOHO Routers and VPN Appliances

The operators of the mysterious Quad7 botnet are actively evolving by compromising SOHO routers and VPN appliances from various brands, exploiting a mix of both known and unknown vulnerabilities.

According to a new report from the French cybersecurity firm Sekoia, affected devices include those from TP-LINK, Zyxel, Asus, Axentra, D-Link, and NETGEAR.

“The Quad7 botnet operators seem to be enhancing their toolkit, introducing a new backdoor and exploring new protocols to increase stealth and evade the tracking capabilities of their operational relay boxes (ORBs),” stated researchers Felix Aimé, Pierre-Antoine D., and Charles M.

Quad7, also known as 7777, was first documented in October 2023 by independent researcher Gi7w0rm, who highlighted how the botnet was compromising TP-Link routers and Dahua digital video recorders (DVRs) to incorporate them into its network.

 

Cybersecurity

The botnet gets its name from the fact that it opens TCP port 7777 on compromised devices. It has been observed brute-forcing Microsoft 365 and Azure instances.

“In addition to TP-Link routers, the botnet also appears to infect other systems like MVPower devices, Zyxel NAS, and GitLab servers, although in very low volumes,” VulnCheck’s Jacob Baines noted earlier this January. “The botnet doesn’t just start a service on port 7777, it also spins up a SOCKS5 server on port 11228.”

Further analyses by Sekoia and Team Cymru over the past few months have revealed that the botnet has not only compromised TP-Link routers in Bulgaria, Russia, the U.S., and Ukraine, but has also expanded to target ASUS routers with TCP ports 63256 and 63260 open.

 

Quad7 Botnet

 

The latest findings show that the botnet is comprised of three additional clusters:

• xlogin (also known as the 7777 botnet): A botnet composed of compromised TP-Link routers with both TCP ports 7777 and 11288 open.
• alogin (also known as the 63256 botnet): A botnet composed of compromised ASUS routers with both TCP ports 63256 and 63260 open.
• rlogin: A botnet composed of compromised Ruckus Wireless devices with TCP port 63210 open.
• axlogin: A botnet capable of targeting Axentra NAS devices (not yet detected in the wild).
• zylogin: A botnet composed of compromised Zyxel VPN appliances with TCP port 3256 open.

Sekoia told that the countries with the most infections are Bulgaria (1,093), the U.S. (733), and Ukraine (697).

 

Cybersecurity

In a further sign of tactical evolution, the threat actors are now using a new backdoor called UPDTAE, which establishes an HTTP-based reverse shell to remotely control infected devices and execute commands from a command-and-control (C2) server.

It remains unclear what the botnet’s exact purpose is or who is behind it, but Sekoia suggested that the activity is likely the work of a Chinese state-sponsored threat actor.

“Regarding the 7777 botnet, we have only seen brute-force attempts against Microsoft 365 accounts,” Aimé told the publication. “For the other botnets, we still don’t know how they are being used.”

“However, after discussions with other researchers and new findings, we are almost certain that the operators are more likely Chinese state-sponsored actors rather than simple cybercriminals engaged in business email compromise (BEC).”

“We are seeing the threat actors trying to be more stealthy by using new malware on compromised edge devices. The main goal behind this move is to prevent the tracking of affiliated botnets.”