En ny angreb kampagne udnytter opdaterede forekomster af Hide ’N Seek tingenes internet botnet øjeblikket angriber brugere over hele verden. Sikkerheden analyse af de tilfangetagne prøver udstillingsvindue, at den opdaterede kode en bred vifte af databaser servere støtte. Dette giver hacking grupper en meget formidabelt våben, som de kan udnytte i avancerede angreb.
Skjul ’N Seek IoT botnet opdateret med nye funktioner
Nyligt indfangede stammer af Hide ’N Seek IoT botnet har vist sig at indeholde en opdateret kodebase. De tilfangetagne stammer afslører, at de nye versioner af malware kan målrette forskellige databaseservere således præsentere en endnu større trussel.
Den første versioner af Hide ’N Seek blev fundet i januar i store globale kampagner, der var i stand til at inficere tusindvis af enheder på en hurtig måde. Den gennemførte analyse viser, at hackere bag infiltrationer anvendes talrige svagheder at finde en svaghed og inficere målet vært. I begyndelsen af maj 2018 statistikken viser, at botnettet har inficeret mere end 90 000 værter. Andre tilføjelser til det på det tidspunkt omfattede et ny vedholdenhed modul.
Sådanne tilføjelser omkonfigurere målet systemets indstillinger for automatisk at starte malware, når enheden er tændt. Det omkonfigurerer boot indstillinger for at omgå eventuelle tjenester eller programmer, der kan forstyrre det korrekte udførelse. Hvis Windows-enheder er den smittede, motoren kan ændre den respektive poster i registreringsdatabasen ved at ændre dem, der hører til boot manager, derudover kan installere oplysningerne tilhører sig selv.
Skjule ’N Seek IoT Botnet Mekanisme af infektion
Infektionerne er udført i et P2P måde, som ikke er afhængige af et centralt sted, hvorfra angrebene bliver gjort. Dette gør det meget mere effektivt, da sikkerhed administratorer vil have en meget sværere tid filtrering af ondsindede værter.
De nyere versioner af Hide ’N Seek tingenes internet botnet har vist sig at indeholde nyere udnyttelser, der er målrettet sårbare Cisco Linksys routere og AVTECH webcams. Motoren har nu en ekstra 171 hardcodede P2P knudepunkter og andre karakteristika tilføjelser såsom en cryptocurrency minearbejder. Dette installerer en software instans, der gør brug af de tilgængelige systemressourcer for at generere digitale valuta aktiver, der automatisk genereres til hackerens tegnebøger.
Infektionen motor anvender en port scanner der synes at være taget fra Mirai botnet. Analysen viser, at det ser ud til åbne porte til fælles tjenester (havne 80, 8080/2480, 5984 og 23) og andre tilfældigt udvalgte. En ny tilføjelse er evnen til at inficere databaser - både OrientDB og Apache CouchDB understøttes.
Der er tre forskellige måder botnet kan kontakte de andre jævnaldrende, der danner netværk:
- Kontakt den indbyggede Liste over Peers.
- Specificerede kommandolinjeargumenter.
- Som anvist af andre Peers.
Når tilfælde startes uden argumenter i Skjul ’N Seek tingenes internet botnet den lokale node vil udsende en serie af UDP indtjekning pakker for at rapportere infektionen.
Grunden til, at Hide N’ Seek tingenes internet botnet frygtes som en effektiv hacking våben er motivationen bag det. De kriminelle synes at målrette både virksomheder og offentlige institutioner ved at tilføje den nye infektion kapaciteter. De nyeste opdateringer kan også signalere en udbredt global kampagne mod slutbrugere, der ofte beskæftiger webkameraer og IoT-enheder som en del af deres smarte indkøb hjem udstyr.
Hvis der anvendes botnettet til at forårsage sabotage til de inficerede værter derefter dette kan ske gennem brug af databasen manipulation motor. De kriminelle kan bruge den til at slette, manipulere eller kapre lagrede oplysninger, samt plante virus ind i offeret værter.
Andre skader, der kan være påført omfatter Trojansk hest adfærd. I dette tilfælde er etableret en sikker forbindelse til en hacker-kontrolleret server eller P2P node. Gennem det de kriminelle kan udspionere ofrene i realtid, samt overtage styringen af anordningerne og implementere yderligere trusler.
Den farlige egenskab af botnet-infektioner er, at i mange tilfælde offeret brugere må ikke oplever nogen symptomer.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: