Una botnet desconocida llamada "Prometei" está atacando ventanas y dispositivos de Microsoft (vulnerables) utilizando ataques de fuerza bruta SMb. Según Cisco Talos, estas vulnerabilidades SMB ayudan a extraer criptomonedas. La botnet ha afectado a alrededor de mil dispositivos. Llegó en marzo; sin embargo, según los expertos de Cisco Talos, la campaña solo pudo generar una pequeña cantidad de $ 5000 en cuatro meses de sus actividades. La botnet funcionaba desde principios de marzo y recibió un golpe el 8 de junio. Sin embargo, la botnet siguió trabajando en sus operaciones mineras para robar credenciales. Según los expertos, la botnet está funcionando para alguien con sede en Europa, un único desarrollador.

"A pesar de que sus actividades son visibles en los registros, algunas botnets vuelan con éxito bajo el radar de los equipos de detección, posiblemente debido a su pequeño tamaño o desarrollo constante por parte del adversario. Prometei es solo uno de estos tipos de redes que se enfoca en la minería Monero. ha tenido éxito en mantener constante su potencia informática durante los tres meses que lo hemos estado rastreando ", dice el informe de Cisco Talo.
Vanja Svajcer, una experta en ciberseguridad, dice que ganar $ 1250 mensuales es más que el promedio para un europeo. Por lo tanto, el desarrollador habría obtenido un beneficio justo de la botnet. Además de la minería de cifrado, también puede robar credenciales privadas y escapar sin ser rastreado.

Sobre el ataque SMB 

El hacker explota el protocolo de bloqueo de mensajes de Windows Server utilizando una vulnerabilidad. Después de esto, los hackers recuperan contraseñas de Mimikatz, que es una aplicación de código abierto para la autenticación de credenciales. Para propagarse en el protocolo SMB, los piratas informáticos utilizan el módulo de extensión RdpcIip.exe. Este spreader intenta autenticar la operación SMB utilizando credenciales recuperadas o un perfil de invitado temporal, que no requiere ninguna contraseña. Si el esparcidor puede infiltrarse, utiliza una aplicación de Windows para iniciar la botnet de forma remota. Pero si el ataque falla, los piratas informáticos pueden usar otras versiones de vulnerabilidades para iniciar botnet.

Para protegerse, dice Cisco Talos, "los defensores deben estar constantemente vigilantes y monitorear el comportamiento de los sistemas dentro de su red. Los atacantes son como el agua: intentarán encontrar la grieta más pequeña para filtrarse. Mientras que las organizaciones deben centrarse en proteger sus activos más valiosos, no deben ignorar las amenazas que no están particularmente dirigidas a su infraestructura ".