Kru RapperBot Menghadirkan Kolaborasi Botnet DDoS/CryptoJacking

Kampanye RapperBot membawa beberapa talenta baru ke dalam gudang senjata malware mereka, menambahkan kemampuan penambangan kripto ke malware botnet penolakan layanan (DDoS) terdistribusi yang ada untuk memperluas cakrawala keuangannya.

Menurut analisis RapperBot dirilis minggu ini oleh FortiGuard Labs dari Fortinet, elemen cryptojacking dari malware ini adalah varian khusus dari penambang XMRig Monero yang terkenal, yang dirancang khusus untuk mesin Intel x64.

“Awalnya, mereka menyebarkan dan mengeksekusi cryptominer Monero terpisah bersama dengan biner RapperBot biasa,” jelas para peneliti dalam postingan tersebut. “Namun pada akhir Januari 2023, mereka menggabungkan kedua fungsi tersebut menjadi satu bot.”

Operator RapperBot pada umumnya di masa lalu berfokus pada penyusupan perangkat Internet of Things (IoT) dengan cara memaksa kredensial SSH atau Telnet yang lemah atau default, dengan tujuan memperbudak mereka ke botnet. Itu Botnet berbasis Mirai, yang aktif sejak bulan Juni lalu, telah digunakan dalam beberapa kampanye DDoS, namun yang jelas kelompok ini melihat peluang untuk mendapatkan lebih banyak keuntungan dengan memperluas apa yang dapat dicapai oleh botnet.

“Operator botnet yang bermotivasi finansial selalu berupaya mendapatkan nilai maksimal dari mesin yang terinfeksi botnet mereka,” jelas peneliti FortiGuard. “Tidak terkecuali pelaku ancaman di balik botnet RapperBot, terbukti dengan penambahan kemampuan cryptojacking mereka untuk menargetkan mesin x64.”

Prestasi RapperBot. Cryptojacking: Kerja Sama yang Logis

XMRig adalah penambang Monero sumber terbuka, dan penggabungannya dengan botnet DDoS yang berspesialisasi dalam memenuhi peralatan IoT konsumen masuk akal, menurut peneliti FortiGuard.

“Monero (XMR) adalah mata uang kripto yang populer untuk penambangan ilegal oleh pelaku ancaman karena fitur-fiturnya yang meningkatkan privasi,” catat mereka dalam postingan tersebut. “Ini juga dirancang agar lebih tahan terhadap penambang sirkuit terintegrasi khusus aplikasi (ASIC), yang memungkinkan penambangan secara menguntungkan hanya dengan perangkat keras tingkat konsumen.”

Analis FortiGuard pertama kali menyadari bahwa ada sesuatu yang baru dengan RapperBot pada akhir Januari, ketika mereka mengumpulkan sampel x64 yang jauh lebih besar daripada sampel malware biasa.

“Pada analisis lebih lanjut, kami memverifikasi bahwa pengembang bot telah menggabungkan kode sumber RapperBot C dengan kode C++ penambang XMRig Monero untuk membuat klien bot gabungan dengan kemampuan penambangan,” jelas mereka.

Menggabungkan keduanya dibandingkan menerapkannya secara terpisah menawarkan beberapa keuntungan, menurut analisis. Pertama, hal ini memungkinkan operator untuk membonceng kemampuan penambangan ke kemampuan brute-forcing atau self-propagation SSH yang ada pada botnet — berguna mengingat XMRig secara asli tidak memiliki keduanya. Dengan cara ini, mereka tidak perlu mengikuti infeksi botnet untuk menginstal penambang di setiap mesin secara manual.

Selain itu, “penggabungan kode bot dan penambang mungkin merupakan upaya untuk menyembunyikan kumpulan penambangan dan alamat dompet Monero menggunakan pengkodean XOR lapisan ganda yang sama sehingga tidak terekspos secara jelas,” mereka menambahkan.

Modifikasi Khusus untuk Membuat Hibrida DDoS-Cryptojacking

Untuk membuat biner hybrid, penulis RapperBot perlu membuat beberapa perubahan kode yang signifikan, menurut FortiGuard. Pertama, kemampuan XMRig untuk membaca file konfigurasi eksternal harus dihapus, sehingga secara default selalu menggunakan konfigurasi yang dibangun ke dalam biner botnet itu sendiri.

“Bot mendekode kumpulan penambangan dan alamat dompet Monero serta memperbarui konfigurasi hardcode sebelum memulai penambang yang tertanam,” jelas para peneliti. “Penambang juga dikonfigurasi untuk menggunakan beberapa kumpulan penambangan untuk redundansi dan privasi tambahan. Dua di antaranya adalah proxy penambangan yang dihosting di IP RapperBot C2 itu sendiri. Hal ini memungkinkan pelaku ancaman untuk menghilangkan alamat dompet dan kumpulan penambangan sebenarnya dari konfigurasi penambang.”

Perubahan lainnya termasuk penghapusan penangan sinyal default XMRig yang terkenal, untuk menghindari memberi tahu korban yang paham akan aktivitas tersebut; mengganti “XMRig” dengan “asbuasdbu” pada informasi versi untuk mencegah kemudahan identifikasi; dan, informasi penggunaan tertentu telah dihapus, kemungkinan besar untuk menghindari deteksi oleh produk keamanan dan penambang pesaing dari kelompok pembajak kripto lainnya.

Versi khusus penambang ini juga memiliki sifat mematikan, membunuh semua penambang pesaing (dan beberapa proses lain yang masuk daftar hitam) yang ditemukan di mesin untuk memaksimalkan efisiensi penambangan.

“Berdasarkan kata kunci yang digunakan, pengembang bot lebih tertarik untuk menghentikan penambang lain dibandingkan bot IoT lainnya,” menurut FortiGuard. “Ini menegaskan kembali fokus mereka pada serangan cryptojacking vs DDoS, setidaknya pada mesin x64.”

Cara Mencegah Infeksi RapperBot

Penulis RapperBot secara teratur mengembangkan malware mereka, dengan analisis sebelumnya dari peneliti FortiGuard menemukan bahwa mereka memiliki kemampuan tambahan seperti kemampuan untuk menjaga kegigihan pada mesin yang terinfeksi bahkan setelah reboot, dan kemudian mengaktifkan propagasi mandiri melalui pengunduh biner jarak jauh. Belakangan, pembuat malware menghapus fitur propagasi mandiri dan menambahkan fitur yang memungkinkan mereka mengakses server SSH secara paksa dari jarak jauh, kata para peneliti.

Namun, aspek brute-force dari strategi akses awalnya memungkinkan RapperBot untuk memblokir meskipun ada perubahan, jelas mereka. Itu mudah: kebersihan kata sandi yang baik.

“RapperBot terus menjadi ancaman berbahaya karena pembaruan terus-menerus,” kata mereka dalam postingan terbaru. “Karena vektor infeksi utama yang menyusupi layanan SSH menggunakan kata sandi yang lemah atau default tetap sama, mitigasinya dengan mengaktifkan otentikasi kunci publik atau menetapkan kata sandi yang kuat untuk semua perangkat yang terhubung ke Internet masih efektif dalam memitigasi ancaman ini.”

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoAiStream. Kecerdasan Data Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Mencetak Masa Depan bersama Adryenn Ashley. Akses Di Sini.
• Beli dan Jual Saham di Perusahaan PRE-IPO dengan PREIPO®. Akses Di Sini.
• Sumber: https://www.darkreading.com/threat-intelligence/rapperbot-crew-drops-ddos-cryptojacking-botnet-collab