非常に独特なボットネットがQihooの研究者によって野生で検出されました. ボットネット, Fbotと呼ばれ、Satoriのコードに基づいています, であるように見えます "別のボットネットcom.ufo.minerを追跡して削除するだけです」. Fbotは他の形式の異常な動作を表示しています. コマンドアンドコントロールサーバーとの通信に従来のDNSを使用しません.
その代わり, ブロックチェーンDNSを使用して、musl.libとして知られる非スタンドC2名を解決します, 研究者は言った. ついに, ボットネットは、元のSatoriボットネットとの強力なリンクを持っています.
Satoriは、Huaweiの欠陥とRealtekSDKベースのデバイスのバグを悪用するボットネットです。. これらの脆弱性は、コンピューターを攻撃して感染させるために悪用されています. ボットネット自体は、壊滅的なMiraiIoTボットネットの上に作成されました. Satoriのオペレーターは、2つの特定の脆弱性を悪用して、数百のデバイスを標的にすることに成功しました。.
また、注意する必要があります Satoriのコードが公開されました 今年の1月に. ボットネットオペレーターは後に暗号通貨マイニングに目を向けました. このSatoriバリアント 管理ポートを介してインターネット上のさまざまなマイニングホストにハッキングされた 3333 ClaymoreMinerソフトウェアを実行します. 次にマルウェアは、ホスト上のウォレットアドレスを独自のウォレットアドレスに置き換えました. 侵害されたデバイスは主にWindowsを実行していました.
ボットネットは通常、性格上悪意があります. でも, Fbotはかなり異なります. 報告されたように, Fbotはcom.ufo.minerに感染したシステムを追跡しています, これはの変種です ADB.Miner. ADB.Minerは、悪名高いIoTMiraiボットネットで使用されているスキャンコードを再利用したAndroid用の最初のワームとして説明されました.
ADB.Miner 設計された さまざまな種類のAndroidデバイスをスキャンする スマートフォンやスマートTVからTVセットトップボックスに至るまで. 唯一の仕様は、これらのデバイスは、ポートを使用して公的にアクセス可能なADBデバッグインターフェイスを備えている必要があるということです。 5555 走る. 見つけたら, ワームは、Monero暗号通貨をマイニングしようとするマルウェアのマイニングモジュールに感染します.
そうは言っても, FbotとADBの配布方法には類似点があります, そしてそれはポートTCPを含みます 5555. ポートがスキャンされ、, 開いている場合, ペイロードは、マルウェアをダウンロードして実行するスクリプトを実行します. 違いは、FbotがADBマイニングスクリプトをアンインストールし、感染したシステムをクリーンアップすることです。.
この慈悲深いボットネットのもう1つの特徴は、従来とは異なるDNSの使用です。. ほとんどの場合, DNSはコマンドアンドコントロール構造の標準ですが、今回はそうではありません.
従来のDNS以外のEmerDNSを使用するFbotの選択は非常に興味深いものです, これにより、セキュリティ研究者がボットネットを見つけて追跡するための基準が引き上げられました。 (従来のDNS名のみを検索すると、セキュリティシステムは失敗します), また、C2ドメインを陥没させるのが難しくなります, 少なくともICANNメンバーには適用されません, 研究者 説明.
Fbotの非典型的なボットネットの動作に理由はありますか?
ボットネットが感染したホストをクリーニングしている理由の1つは、 それは単に競争を全滅させることです 将来の感染への道を切り開く.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: