Masjesu: la botnet DDoS-for-hire que apunta a dispositivos IoT en todo el mundo

Investigadores de ciberseguridad han identificado a Masjesu, una botnet sigilosa ofrecida como servicio DDoS-for-hire desde Telegram. La amenaza se enfoca en routers, gateways y otros dispositivos IoT de múltiples fabricantes y arquitecturas, con tácticas pensadas para persistir, expandirse y evitar atención innecesaria.

Investigadores de ciberseguridad han revelado detalles sobre Masjesu, una botnet diseñada para ataques de denegación de servicio distribuido (DDoS) y comercializada como un servicio DDoS-for-hire desde al menos 2023 a través de Telegram.

La amenaza está orientada a una amplia variedad de dispositivos IoT, incluidos routers, cámaras, DVR y NVR, y puede operar sobre múltiples arquitecturas. Según Trellix, Masjesu fue construida para la persistencia y la baja visibilidad, privilegiando una ejecución discreta en lugar de una infección masiva. Incluso evita rangos de IP bloqueados, como los pertenecientes al Departamento de Defensa de Estados Unidos, con el objetivo de prolongar su vida operativa.

Este botnet también es conocido como XorBot, en referencia al uso de cifrado XOR para ocultar cadenas, configuraciones y datos de carga útil. Su primera documentación pública apareció en diciembre de 2023 por parte de NSFOCUS, que lo vinculó con un operador identificado como "synmaestro".

Una versión posterior observada un año después incorporó 12 exploits de inyección de comandos y ejecución de código para comprometer routers y otros equipos de marcas como D-Link, Eir, GPON, Huawei, Intelbras, MVPower, NETGEAR, TP-Link y Vacron. Además, agregó módulos específicos para lanzar ataques DDoS de tipo flood.

NSFOCUS ya había señalado en 2024 que XorBot mostraba un crecimiento sostenido y que sus operadores recurrían cada vez más a plataformas como Telegram para reclutamiento y promoción, con el fin de atraer clientes y ampliar la infraestructura del botnet.

Las observaciones más recientes de Trellix indican que Masjesu promociona su capacidad para ejecutar ataques DDoS volumétricos, apoyándose en una infraestructura diversa y adecuada para impactar CDNs, servidores de videojuegos y entornos corporativos. Los ataques observados provienen principalmente de Vietnam, Ucrania, Irán, Brasil, Kenia e India, con Vietnam concentrando casi el 50% del tráfico identificado.

Una vez instalado en un dispositivo comprometido, el malware crea y vincula un socket en el puerto TCP fijo 55988 para permitir que el atacante se conecte directamente. Si este paso falla, la cadena de infección se detiene de inmediato.

Si la conexión se establece correctamente, el malware configura persistencia, ignora señales relacionadas con terminación de procesos, detiene herramientas de uso común como wget y curl, posiblemente para interferir con botnets rivales, y luego se conecta a un servidor externo para recibir órdenes de ataque DDoS.

Masjesu también incluye capacidades de autopropagación. Puede escanear direcciones IP aleatorias en busca de puertos abiertos e incorporar los dispositivos comprometidos a su infraestructura. Entre sus objetivos de explotación figura ahora Realtek, mediante el escaneo del puerto 52869, asociado al daemon miniigd del SDK de Realtek. En el pasado, otras botnets DDoS como JenX y Satori han utilizado un enfoque similar.

Trellix concluye que Masjesu continúa expandiéndose al infectar una amplia variedad de dispositivos IoT de múltiples arquitecturas y fabricantes. Además, su aparente evitación de organizaciones críticas sensibles sugiere una estrategia pensada para reducir el riesgo legal y aumentar su supervivencia a largo plazo.

Fuente:
https://thehackernews.com/2026/04/masjesu-botnet-emerges-as-ddos-for-hire.html

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.