SBIDIOT Malware
Spredningen af IoT-enheder (Internet-of-Things) viser fortsat hurtig vækst i den industrielle sektor, især. Som sådan har cyberkriminelle fundet en bred ny pulje af potentielle mål for infektion med malware. En af de nyeste trusler designet til at bryde IoT-enheder specifikt kaldes SBIDIOT Malware.
Som med de fleste IoT-trusler er hovedmålet med SBIDIOT Malware at inkorporere alle inficerede enheder i et botnet. Selvom botnets beregningskraft kan bruges på flere forskellige måder, er den mest fremtrædende at starte DDoS-angreb mod specifikke mål. DDOS står for Distribueret lammelsesangreb - enhederne i botnet begynder at generere overdreven belastning på serveren valgt af hackerne, hvilket forhindrer brugere i at få adgang til dets tjenester. En metode, som SBIDIOT Malware er blevet observeret at bruge til spredning, er at udnytte en RCE-sårbarhed (Remote Code Execution) i ZTE-routere.
SBIDIOT Malware-funktionalitet
Analyse af trussels kode udført af infosec forskerne afslørede, at SBIDIOT Malware er i stand til at udføre i alt 16 kommandoer modtaget fra Command-and-Control (C2, C&C) serveren og matches mod en liste over strenge. C2's IP-adresse og port er hårdkodet i binær af SBIDIOT. Den fulde liste er: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop, stop.
Ikke overraskende er næsten alle de handlinger, der udføres af truslen, relateret til at starte DDoS-angreb gennem forskellige metoder og krævede argumenter. For eksempel er HTTPSTOMP-kommandoen defineret via en HTTP-metode, vært / port-kombination, angrebets varighed og en optælling, der angiver, hvor mange gange operationerne skal gentages. HEX-, STD-, R6-, NFO-, FN-, OVHKILL-, NFOKILL- og UDPH-kommandoer kalder alle den samme funktion, der har brug for et værtsnavn, en port og en grænse for angrebsvarigheden. Derefter begynder det at generere UDP-trafik med en fast nyttelast.
De vigtigste undtagelser er kommandoerne STOP, stop og Stop. Når de initieres, sender de et SIGKILL-signal til alle proces-id'er, der spores i øjeblikket. Dette gør det muligt for trusselsaktøren at afslutte den valgte proces med det samme.
