Quem matou Mozi? Finalmente colocando o botnet zumbi IoT em seu túmulo

Pesquisa ESET

Como a ESET Research encontrou um kill switch que foi usado para derrubar uma das botnets mais prolíficas do mercado

01 2023 novembro  .  , 3 minutos. ler

Em agosto de 2023, o notório botnet Mozi, famoso por explorar vulnerabilidades em centenas de milhares de dispositivos IoT todos os anos, sofreu uma queda repentina e imprevista na atividade. Observado pela primeira vez na Índia em 8 de agosto^th, 2023 e uma semana depois na China, em 16 de agosto^th, esse misterioso desaparecimento retirou a maior parte de suas funcionalidades aos bots Mozi.

Nossa investigação sobre este evento nos levou à descoberta de um interruptor de interrupção em 27 de setembro^th, 2023. Detectamos a carga útil de controle (arquivo de configuração) dentro de uma mensagem de protocolo de datagrama de usuário (UDP) que estava faltando o encapsulamento típico do protocolo de tabela de hash desleixada distribuída (BT-DHT) do BitTorrent. A pessoa por trás da remoção enviou a carga de controle oito vezes, cada vez instruindo o bot a baixar e instalar uma atualização via HTTP.

O kill switch demonstrou diversas funcionalidades, incluindo:

• matando o processo pai, ou seja, o malware Mozi original,
• desabilitando alguns serviços do sistema, como sshd e dropbear,
• substituindo o arquivo Mozi original por ele mesmo,
• executando alguns comandos de configuração de roteador/dispositivo,
• desabilitando o acesso a várias portas (iptables -j DROP), E
• estabelecendo a mesma base que o arquivo Mozi original substituído

Identificamos duas versões do payload de controle, com a mais recente funcionando como um envelope contendo a primeira com pequenas modificações, como adicionar uma função para executar ping em um servidor remoto, provavelmente destinada a fins estatísticos.

Apesar da redução drástica na funcionalidade, os bots Mozi mantiveram a persistência, indicando uma remoção deliberada e calculada. Nossa análise do kill switch mostra uma forte conexão entre o código-fonte original da botnet e os binários usados ​​recentemente, e também o uso das chaves privadas corretas para assinar a carga de controle (veja a Figura 2).

Isto leva-nos à hipótese que sugere dois potenciais originadores desta remoção: os criadores do botnet Mozi ou as autoridades chinesas que forçam a cooperação dos criadores. A segmentação sequencial de bots na Índia e depois na China sugere que a remoção foi realizada deliberadamente, com um país sendo o alvo primeiro e o outro uma semana depois.

O desaparecimento de uma das botnets IoT mais prolíficas é um caso fascinante de ciberforense, fornecendo-nos informações técnicas intrigantes sobre como essas botnets são criadas, operadas e desmanteladas. Continuamos investigando este caso e publicaremos uma análise detalhada nos próximos meses. Mas por enquanto, a questão permanece: quem matou Mozi?

Para quaisquer dúvidas sobre nossa pesquisa publicada no WeLiveSecurity, entre em contato conosco em ameaçaintel@eset.com.
A ESET Research oferece relatórios privados de inteligência APT e feeds de dados. Para qualquer esclarecimento sobre este serviço, visite o Inteligência de ameaças ESET Disputas de Comerciais.

IoCs

Arquivos

Network

Técnicas MITER ATT e CK

Esta tabela foi construída usando versão 13 da estrutura MITER ATT & CK.