Hackers usan banners FTP para distribuir nuevos troyanos Windows

Recientes investigaciones han revelado que actores maliciosos están explotando los banners que los servidores FTP envían al cliente durante la fase de saludo. En lugar de limitarse a la información habitual (versión del servidor, sistema operativo), los atacantes insertan comandos codificados que, al ser interpretados por clientes vulnerables, descargan y ejecutan dos trojan de acceso remoto previamente desconocidos: E4del y PINHOLE.

Estos payloads están diseñados para sistemas Windows y se entregan sin que el usuario realice ninguna acción explícita, aprovechando la confianza que muchos administradores depositan en los mensajes de banner. Según el informe de BleepingComputer, "Los banners FTP se están convirtiendo en un canal de entrega inesperado".

¿Cómo funciona la entrega?

  1. Compromiso del servidor FTP – El atacante obtiene acceso al servidor y modifica el mensaje de banner.
  2. Inserción de comandos ocultos – Se añaden secuencias que, al ser interpretadas por clientes vulnerables, desencadenan la descarga del malware.
  3. Ejecución del troyano – El archivo descargado se instala silenciosamente y abre una puerta trasera para el atacante.

Medidas de mitigación

  • Revisar y normalizar los banners de todos los servidores FTP.
  • Desactivar la ejecución automática de scripts o comandos provenientes de respuestas FTP.
  • Monitorear cambios en la configuración del servidor mediante sistemas de gestión de cambios.
  • Aplicar reglas de detección que alerten sobre patrones de descarga inusuales desde puertos FTP.

Cobertura DefensOps

  • Plan mínimo: Essential
  • Técnicas MITRE: N/A
  • Cobertura: Detección genérica mediante motor de correlación, incluido en el plan Essential.

¿Estás cubierto en DefensOps?

Nuestro motor de correlación analiza los logs de FTP y detecta anomalías en los banners, cubriendo la técnica utilizada por estos actores. Con el plan Essential dispones de alertas automáticas y dashboards que facilitan la respuesta rápida.

Plan Essential – Detección genérica (motor de correlación) – sin dependencia de técnicas MITRE específicas.

No dejes que un banner sea la puerta de entrada. Consulta nuestros precios o solicita una demo para ver cómo DefensOps protege tu infraestructura.

Fuente: BleepingComputer