Ботнет мрежа Масджесу

Анализатори по киберсигурност разкриха силно скрита ботнет мрежа, проектирана специално за разпределени атаки тип „отказ от услуга“. Известна като Masjesu, тази операция се разпространява от 2023 г. насам като DDoS услуга с цел наемане, промотирана предимно чрез Telegram канали.

Вместо да се стреми към масови инфекции, ботнетът възприема сдържан и пресметлив подход. Дизайнът му набляга на постоянство и скритост, като умишлено избягва известни цели, като мрежи, свързани с Министерството на отбраната. Тази стратегия значително намалява вероятността от откриване и премахване, позволявайки на операцията да се задържи във времето.

Двойна идентичност и криптирани операции

Masjesu е известен още като XorBot, име, произлизащо от използването на техники за криптиране, базирани на XOR. Тези методи се прилагат към неясни низове, конфигурационни данни и полезни товари, което усложнява усилията за анализ и откриване.

Ботнетът е документиран за първи път през декември 2023 г. и е свързан с оператор, известен като „synmaestro“. От най-ранната си поява той демонстрира ясен фокус върху поддържането на ниска видимост, като същевременно позволява ефективен дистанционен контрол на компрометирани системи.

Разширяване на арсенала и възможностите за експлоатация

По-нова версия на ботнета, наблюдавана приблизително година по-късно, въведе значителни подобрения. Тя включва множество експлойти за инжектиране на команди и дистанционно изпълнение на код, насочени към широк спектър от устройства от Интернет на нещата, включително рутери, камери, DVR и NVR устройства от няколко големи производителя.

Тези актуализации включваха и специални модули за изпълнение на DDoS flood атаки с голям обем, засилвайки ролята му като услуга за търговски атаки.

Ключовите възможности включват:

• Експлоатация на уязвимости в различни хардуерни архитектури на IoT
• Интегриране на 12 различни вектора на атака за първоначален достъп
• Внедряване на специализирани модули за обемни DDoS операции

Работен процес на инфекция и механизми за персистиране

След като устройството бъде компрометирано, зловредният софтуер инициира структурирана верига за изпълнение, предназначена да поддържа контрол и да предотвратява смущения. Той установява сокет, свързан с твърдо кодиран TCP порт (55988), позволявайки директна комуникация с нападателя. Ако тази стъпка се провали, процесът на заразяване се прекратява незабавно.

Ако успее, зловредният софтуер продължава с техники за персистентност, потискайки сигналите за прекратяване и деактивирайки често срещани помощни програми като wget и curl, вероятно за да елиминира конкурентния зловреден софтуер. След това се свързва с външен сървър за командване и контрол, за да получава инструкции и да стартира атаки срещу определени цели.

Саморазпространение и стратегическо насочване

Masjesu е оборудван с функция за саморазпространение, която му позволява да сканира произволни IP адреси за уязвими системи. След като бъдат идентифицирани, тези устройства се интегрират в инфраструктурата на ботнета, разширявайки оперативния му капацитет.

Забележителна тактика включва сканиране за порт 52869, свързан с услугата miniigd на Realtek SDK, метод, използван преди това от други ботнет мрежи като JenX и Satori.

Географското разпределение на атакуващия трафик показва концентрация в:

• Виетнам (приблизително 50% от наблюдаваната активност)
• Украйна, Иран, Бразилия, Кения и Индия

Въпреки агресивното си разширяване, ботнетът избягва да атакува критични или чувствителни организации. Това умишлено ограничаване намалява правната експозиция и подобрява дългосрочната оцеляване.

Стратегия за комерсиализация и растеж

Masjesu продължава да се развива като структурирана услуга за борба с киберпрестъпленията. Нейните оператори активно популяризират възможностите си чрез Telegram, позиционирайки я като мащабируемо решение за насочване към мрежи за доставяне на съдържание, игрова инфраструктура и корпоративни системи.

Тази зависимост от платформите на социалните медии за набиране на персонал и реклама се е доказала като ефективна, позволявайки стабилен растеж и привличайки клиентска база, заинтересована от стартиране на DDoS атаки без технически познания.

Нарастваща и постоянна киберзаплаха

Като нововъзникващо семейство ботнети, Masjesu демонстрира силен импулс както в техническата си сложност, така и в оперативното си разширяване. Комбинацията от скритост, целенасочена експлоатация и търговска достъпност го прави значителна заплаха в съвременния пейзаж на киберсигурността.

Чрез приоритизиране на постоянството пред видимостта и използване на развиващи се техники за атака, ботнет мрежата продължава да прониква и контролира IoT среди по целия свят, като същевременно минимизира риска от смущения.