Hvem dræbte Mozi? Endelig lægger IoT zombie-botnet i sin grav

ESET Research

Hvordan ESET Research fandt en kill-switch, der var blevet brugt til at fjerne et af de mest produktive botnets derude

November 01 2023  •  , 3 min. Læs

I august 2023 oplevede det berygtede Mozi-botnet, der er berygtet for at udnytte sårbarheder i hundredtusindvis af IoT-enheder hvert år, et pludseligt og uventet dyk i aktivitet. Først observeret i Indien den 8. august^th, 2023 og en uge senere i Kina den 16. august^th, denne mystiske forsvinden fratog Mozi-bots det meste af deres funktionalitet.

Vores undersøgelse af denne begivenhed førte os til opdagelsen af ​​en dræberafbryder den 27. september^th, 2023. Vi opdagede kontrolnyttelasten (konfigurationsfilen) inde i en UDP-meddelelse (User Datagram Protocol), der manglede den typiske indkapsling af BitTorrents BT-DHT-protokol (distributed sloppy hash table). Personen bag nedtagningen sendte kontrolnyttelasten otte gange, og hver gang instruerede botten om at downloade og installere en opdatering af sig selv via HTTP.

Kill-switchen demonstrerede flere funktioner, herunder:

• dræbe forældreprocessen, dvs. den originale Mozi-malware,
• deaktivering af nogle systemtjenester såsom sshd og dropbear,
• erstatte den originale Mozi-fil med sig selv,
• udføre nogle router/enhedskonfigurationskommandoer,
• deaktivering af adgang til forskellige porte (iptables -j DROP), Og
• etablerer samme fodfæste som den erstattede originale Mozi-fil

Vi identificerede to versioner af kontrolnyttelasten, hvor den seneste fungerede som en konvolut indeholdende den første med mindre ændringer, såsom tilføjelse af en funktion til at pinge en fjernserver, sandsynligvis beregnet til statistiske formål.

På trods af den drastiske reduktion i funktionalitet har Mozi-bots bevaret vedholdenhed, hvilket indikerer en bevidst og beregnet fjernelse. Vores analyse af kill-switchen viser en stærk forbindelse mellem botnettets originale kildekode og nyligt brugte binære filer, og også brugen af ​​de korrekte private nøgler til at signere kontrolnyttelasten (se figur 2).

Dette fører os til den hypotese, der foreslår to potentielle ophavsmænd til denne fjernelse: Mozi-botnet-skaberne eller kinesiske retshåndhævende myndigheder, der tvinger skabernes samarbejde. Den sekventielle målretning af bots i Indien og derefter i Kina tyder på, at fjernelsen blev udført bevidst, hvor det ene land blev målrettet først og det andet en uge senere.

Nedlæggelsen af ​​et af de mest produktive IoT-botnets er et fascinerende tilfælde af cyberforensics, der giver os spændende teknisk information om, hvordan sådanne botnets i naturen skabes, betjenes og demonteres. Vi fortsætter med at undersøge denne sag og vil offentliggøre en detaljeret analyse i de kommende måneder. Men indtil videre er spørgsmålet tilbage: Hvem dræbte Mozi?

For eventuelle forespørgsler om vores forskning offentliggjort på WeLiveSecurity, bedes du kontakte os på threatintel@eset.com.
ESET Research tilbyder private APT-efterretningsrapporter og datafeeds. For eventuelle forespørgsler om denne service, besøg ESET Threat Intelligence .

IoC'er

Filer

Netværk

MITRE ATT&CK teknikker

Dette bord er bygget vha udgave 13 af MITER ATT&CK-rammerne.