KATARU скомпрометировал honeypot через брутфорс Telnet

Семейство вредоносных программ KATARU для IoT скомпрометировало honeypot посредством брутфорса учётных данных Telnet с IP-адреса во Вьетнаме. Получив доступ, злоумышленник использовал команды BusyBox для загрузки и выполнения полезной нагрузки для ARM с именем vlxx.arm.

Доставка и повышение привилегий

Вероятно, образец доставил связанный загрузчик, использующий маркеры промежуточного хранения condi72 и condixx. По всей видимости, вредоносная программа статически скомпилирована для нескольких архитектур с помощью инструментальной цепочки Clang/LLD, связанной с Zig и musl.

KATARU применяет несколько методов повышения привилегий. Сначала вредоносная программа проверяет, доступен ли /etc/passwd для записи. Если файл доступен, KATARU удаляет заполнитель пароля root, чтобы включить доступ через su без пароля. Затем вредоносная программа пытается использовать уязвимости CVE-2026-46300, CVE-2026-43284 и CVE-2026-31431, а также выполнить выход из cgroup v1 через release_agent.

По всей видимости, код эксплойтов скопирован из общедоступных источников. Образец для ARM содержит шелл-код x86, из-за чего снижается вероятность корректной работы этих методов на целевой архитектуре. Вспомогательный компонент также проверяет наличие файлов SUID, однако его вывод не интегрирован в цепочку повышения привилегий.

Закрепление в системе

Для закрепления KATARU копирует себя в несколько расположений и пытается использовать широкий набор механизмов запуска:

• службы, таймеры и генераторы systemd;
• cron;
• SysV init;
• rc.local;
• профили оболочки;
• udev;
• хуки диспетчера пакетов и сети;
• компоненты OpenWrt;
• альтернативные системы инициализации;
• сценарии загрузки Android;
• повторный запуск с помощью watchdog.

При наличии достаточных возможностей вредоносная программа также может изменять атрибуты файлов immutable и append-only.

Управление и противодействие анализу

KATARU использует зашифрованный пользовательский протокол управления. Боты генерируют эфемерные пары ключей X25519, выполняют обмен ключами с сервером, проверяют закреплённый открытый ключ сервера и обмениваются кадрами ChaCha20-Poly1305 с префиксом длины.

Команды управления поддерживают:

• работу с TCP, UDP, ICMP, HTTP, QUIC и DNS;
• специализированные DDoS-атаки на службы;
• брутфорс SSH;
• выполнение команд оболочки;
• тестирование скорости;
• прекращение атаки;
• удаление вредоносной программы и артефактов закрепления.

Функции противодействия анализу включают:

• проверки ptrace и TracerPid;
• обнаружение переменных окружения, связанных с инструментированием;
• поиск процессов отладки и обратного инжиниринга;
• завершение работы при обнаружении таких признаков.

Отсоединённый поток генерирует маскировочный трафик HTTP, IRC, TCP и UDP. Образец не реализует автономное распространение через Telnet, соответствующую активность контролируют команды управления.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.