Медовая ловушка перехватила образцы ботнетов на базе Mirai и CatDDoS

Перехват данных с медовой ловушки выявил несколько семейств ботнетов, производных от Mirai и CatDDoS. Среди образцов есть бинарные файлы для ARMv7/uClibc, собранные инструментальными цепочками Aboriginal Linux, и бот для x86-64 с более развитыми возможностями на уровне приложений. Образцы используют XOR-обфускацию с ключами 0x22 и 0x09, содержат учётные данные и механизмы закрепления в стиле Mirai, маскируются под потоки ядра и завершают работу конкурирующего вредоносного ПО. Для связи с C2 они используют собственный протокол с префиксом длины.

Распространение и цели образцов для ARM

Одно из семейств для ARM тесно связано с оператором, использующим псевдоним «0cl». На связь указывают встроенные строки killer-log, сходство паттернов кода и общие характеристики инфраструктуры. Возможности распространения включают брутфорс по Telnet со словарём из 27 учётных данных по умолчанию для IoT-устройств, эксплуатацию уязвимости в ASUS applyapp.cgi и инъекцию команд UPnP в miniigd Realtek SDK, связанную с CVE-2014-8361.

Один образец содержит 150 диапазонов сканирования IPv4 с маской /24, ориентированных на провайдеров. Это указывает на целенаправленное воздействие на бытовые IoT-устройства, включая маршрутизаторы, камеры и видеорегистраторы. Встроенные пути и ссылки на механизмы контроля за работой устройства, в том числе Fintek FTWDT101, свидетельствуют о нацеливании на конкретные аппаратные платформы встраиваемых систем.

Функции атак и инфраструктура управления

Вредоносное ПО поддерживает около 25 векторов атак на отказ в обслуживании. Среди целей:

• HTTP и HTTP/2;
• SMTP, SSH и RDP;
• базы данных, Redis и MongoDB;
• игровые серверы, FiveM, TeamSpeak, Source Engine и Minecraft;
• связанные с этими сервисами ресурсы.

Образец для x86-64 содержит логику обхода Cloudflare/WAF, меняет отпечатки браузера, обнаруживает локальные прокси-серверы и включает зашифрованный клиент SOCKS5 для направления трафика C2 или атак через сторонние прокси-серверы. В образец также встроены идентификаторы игровых серверов и список конкурентов для уничтожения. Он обрабатывает сигналы watchdog и закрепляется в системе через несколько механизмов инициализации: cron, systemd и сценарии оболочки.

Восстановленная инфраструктура C2 включает 176.65.139.196:18129, 64.89.160.48:18129 и 160.119.66.206. Порт 18129 повторяется в связанных образцах и инфраструктуре оператора. Полезные нагрузки размещаются по путям, среди которых /bins/kla.sh и /bins/net.*.

Боты для ARM отправляют пакет регистрации с информацией об архитектуре и группе. Затем следуют команды атак в открытом виде, снабжённые префиксом длины. Протокол не использует аутентификацию, поэтому наблюдатель, способный отслеживать C2 или перенаправлять его трафик на подконтрольный сервер, может получить перечень ботов, идентификаторы кампаний, цели атак, их длительность и применяемые методы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.