Кто убил Мози? Наконец-то похоронили ботнет-зомби IoT в могиле

Исследования ESET

Как исследование ESET обнаружило аварийный выключатель, который использовался для уничтожения одного из самых плодовитых ботнетов

01 ноября 2023  •  , 3 минута. читать

В августе 2023 года пресловутый ботнет Mozi, печально известный тем, что каждый год использует уязвимости в сотнях тысяч IoT-устройств, испытал внезапный и непредвиденный спад активности. Впервые наблюдался в Индии 8 августа.^th, 2023 г. и неделю спустя в Китае, 16 августа.^th, это загадочное исчезновение лишило ботов Mozi большей части их функциональности.

Наше расследование этого события привело нас к обнаружению аварийного выключателя 27 сентября.^th, 2023. Мы обнаружили управляющую полезную нагрузку (файл конфигурации) внутри сообщения протокола пользовательских датаграмм (UDP), в котором отсутствовала типичная инкапсуляция протокола распределенной небрежной хеш-таблицы BitTorrent (BT-DHT). Человек, ответственный за удаление, отправлял управляющую нагрузку восемь раз, каждый раз инструктируя бота загрузить и установить свое обновление через HTTP.

Аварийный выключатель продемонстрировал несколько функций, в том числе:

• уничтожение родительского процесса, то есть оригинального вредоносного ПО Mozi,
• отключение некоторых системных служб, таких как sshd и dropbear,
• замена исходного файла Mozi самим собой,
• выполнение некоторых команд настройки маршрутизатора/устройства,
• отключение доступа к различным портам (iptables -j ПАДЕНИЕ), а также расширение
• создание той же точки опоры, что и замененный исходный файл Mozi

Мы выявили две версии управляющей полезной нагрузки, последняя из которых функционировала как конверт, содержащий первую с небольшими изменениями, такими как добавление функции проверки связи с удаленным сервером, вероятно, предназначенной для статистических целей.

Несмотря на резкое сокращение функциональности, боты Mozi сохранили свою настойчивость, что указывает на преднамеренное и рассчитанное удаление. Наш анализ аварийного переключателя показывает сильную связь между исходным исходным кодом ботнета и недавно использованными двоичными файлами, а также использование правильных закрытых ключей для подписи управляющих полезных данных (см. рисунок 2).

Это приводит нас к гипотезе, предполагающей двух потенциальных инициаторов удаления: создатели ботнета Mozi или китайские правоохранительные органы, принуждающие создателей к сотрудничеству. Последовательное нападение на ботов в Индии, а затем в Китае позволяет предположить, что удаление было проведено преднамеренно: сначала была атакована одна страна, а через неделю — другая.

Гибель одного из самых плодовитых ботнетов Интернета вещей — это увлекательный случай киберкриминалистики, предоставляющий нам интригующую техническую информацию о том, как такие ботнеты в дикой природе создаются, эксплуатируются и демонтируются. Мы продолжаем расследование этого дела и опубликуем подробный анализ в ближайшие месяцы. Но на данный момент остается вопрос: кто убил Мози?

По любым вопросам о наших исследованиях, опубликованных на WeLiveSecurity, обращайтесь к нам по адресу угрозаintel@eset.com.
ESET Research предлагает частные аналитические отчеты об APT и потоки данных. По любым вопросам, связанным с этой услугой, посетите ESET Аналитика угроз стр.

МНК

Файлы

Cеть

Техники MITER ATT & CK

Эта таблица была построена с использованием версия 13 каркаса MITER ATT & CK.