Kes tappis Mozi? Lõpuks pannes IoT zombie botneti hauda

ESET-i uuringud

Kuidas ESET Research leidis tapmislüliti, mida kasutati ühe kõige viljakama robotivõrgu mahavõtmiseks

01 2023 november  •  , 3 min. lugeda

2023. aasta augustis koges kurikuulus Mozi botnet, mis on kurikuulus igal aastal sadade tuhandete asjade Interneti-seadmete turvaaukude ärakasutamise poolest, äkilise ja ootamatu tegevuse. Esimest korda täheldati Indias 8. augustil^th, 2023 ja nädal hiljem Hiinas 16. augustil^th, võttis see salapärane kadumine Mozi robotitelt ära enamiku nende funktsioonidest.

Selle sündmuse uurimine viis meid 27. septembril tapmislüliti avastamiseni^th, 2023. Märkasime kasutaja datagrammi protokolli (UDP) sõnumi sees juhtkoormuse (konfiguratsioonifaili), millel puudus BitTorrenti hajutatud lohaka räsitabeli (BT-DHT) protokolli tüüpiline kapseldamine. Eemaldamise taga olnud isik saatis kontrollkoormuse kaheksa korda, andes iga kord robotile korralduse HTTP kaudu enda värskendus alla laadida ja installida.

Tapmislüliti demonstreeris mitmeid funktsioone, sealhulgas:

• vanemprotsessi, st algse Mozi pahavara tapmine,
• mõne süsteemiteenuse (nt sshd ja dropbear) keelamine,
• algse Mozi faili asendamine iseendaga,
• mõnede ruuteri/seadme konfiguratsioonikäskude täitmine,
• juurdepääsu keelamine erinevatele portidele (iptables -j DROP), Ja
• luua sama tugiala kui asendatud algne Mozi-fail

Tuvastasime kaks juhtkoormuse versiooni, millest viimane toimis ümbrikuna, mis sisaldab esimest väiksemate muudatustega, näiteks funktsiooni lisamisega kaugserveri pingile, mis on tõenäoliselt mõeldud statistilistel eesmärkidel.

Vaatamata funktsionaalsuse drastilisele vähenemisele on Mozi robotid säilitanud püsivuse, mis viitab tahtlikule ja kalkuleeritud eemaldamisele. Meie tapmislüliti analüüs näitab tugevat seost botneti algse lähtekoodi ja hiljuti kasutatud binaarfailide vahel ning ka õigete privaatvõtmete kasutamist juhtkoormuse allkirjastamiseks (vt joonis 2).

See viib meid hüpoteesini, mis viitab sellele, et selle eemaldamise kaks potentsiaalset algatajat on: Mozi botneti loojad või Hiina õiguskaitseorganid, kes sunnivad loojaid koostööd tegema. Robotite järjestikune sihtimine Indias ja seejärel Hiinas viitab sellele, et eemaldamine viidi läbi sihilikult, ühe riigi sihtmärgiks oli esimene ja teisele nädal hiljem.

Ühe kõige viljakama asjade Interneti botneti hääbumine on küberkohtuekspertiisi põnev juhtum, pakkudes meile intrigeerivat tehnilist teavet selle kohta, kuidas selliseid botnette looduses luuakse, käitatakse ja lahti võetakse. Jätkame selle juhtumi uurimist ja avaldame lähikuudel üksikasjaliku analüüsi. Kuid praegu jääb küsimus: kes tappis Mozi?

Kui teil on küsimusi meie WeLiveSecurity avaldatud uurimistöö kohta, võtke meiega ühendust aadressil ohuintel@eset.com.
ESET Research pakub privaatseid APT luurearuandeid ja andmevooge. Kui teil on selle teenuse kohta küsimusi, külastage aadressi ESET Threat Intelligence lehel.

IoC-d

Faile

võrk

MITER ATT&CK tehnikad

See laud on ehitatud kasutades versioon 13 MITER ATT&CK raamistikust.