PumaBot Botnet

Ένα πρόσφατα ανακαλυφθέν botnet Linux, με την ονομασία PumaBot, προκαλεί χάος σε ενσωματωμένες συσκευές IoT. Γραμμένο σε Go, αυτό το κακόβουλο λογισμικό χρησιμοποιεί μεθόδους brute-force για να σπάσει τα διαπιστευτήρια SSH, αναπτύσσοντας κακόβουλα φορτία μόλις αποκτηθεί πρόσβαση. Σε αντίθεση με τα παραδοσιακά botnet που σαρώνουν το διαδίκτυο αδιακρίτως, το PumaBot εστιάζει σε συγκεκριμένες διευθύνσεις IP που ανακτώνται απευθείας από τον διακομιστή Command-and-Control (C2) του.

Στόχευση ακριβείας: Μια τακτική αλλαγή στην εκμετάλλευση του IoT

Το PumaBot ξεχωρίζει αντλώντας επιλεγμένες λίστες στόχων IP από τον διακομιστή C2 (ssh.ddos-cc.org), επιτρέποντάς του να διεξάγει ιδιαίτερα στοχευμένες επιθέσεις. Αυτή η προσέγγιση αποφεύγει ευρείες σαρώσεις στο διαδίκτυο και υποδηλώνει πρόθεση παραβίασης συγκεκριμένων οργανισμών ή συσκευών. Επιθεωρεί ακόμη και συσκευές για μια συμβολοσειρά «Pumatronix» — μια ένδειξη που μπορεί να υποδεικνύει τη στόχευση συστημάτων παρακολούθησης και καμερών κυκλοφορίας που παράγονται από αυτόν τον προμηθευτή.

Από την Αναγνώριση στη Ρίζα: Ο Κύκλος Ζωής Επίθεσης του PumaBot

Μόλις επιλεγεί μια συσκευή, το PumaBot εκτελεί προσπάθειες brute-force σύνδεσης SSH στη θύρα 22. Εάν είναι επιτυχής, εκτελεί την εντολή 'uname -a' για να συλλέξει πληροφορίες συστήματος και να επαληθεύσει ότι η συσκευή δεν είναι honeypot. Μετά από αυτήν την επαλήθευση, το botnet:

• Γράφει το κύριο δυαδικό αρχείο του (jierui) στο /lib/redis
• Εγκαθιστά μια μόνιμη συστημική υπηρεσία (redis.service)
• Εισάγει το δικό του κλειδί SSH στο authorized_keys για μακροπρόθεσμη πρόσβαση, ακόμα και μετά από καθαρισμούς συστήματος.

Πέρα από τη Μόλυνση: Εκτέλεση Εντολών και Κλοπή Δεδομένων

Με ασφαλή πρόσβαση, το PumaBot μπορεί να εκτελέσει περαιτέρω εντολές, όπως:

• Ανάπτυξη νέων ωφέλιμων φορτίων
• Έκλυση ευαίσθητων δεδομένων
• Διευκόλυνση της πλευρικής κίνησης εντός των δικτύων
• Τα ανιχνευμένα ωφέλιμα φορτία περιλαμβάνουν:
• Αυτοενημερούμενα σενάρια
• Rootkits PAM που αντικαθιστούν το pam_unix.so
• Ένα δυαδικό αρχείο daemon (με όνομα 1) που λειτουργεί ως παρατηρητής αρχείων

Η κακόβουλη μονάδα PAM καταγράφει τα διαπιστευτήρια SSH και τα αποθηκεύει στο con.txt. Το δυαδικό αρχείο 1 παρακολουθεί αυτό το αρχείο και, μόλις εντοπιστεί, το αποστέλλει στον διακομιστή C2 πριν το σβήσει από το μολυσμένο σύστημα — μια υπολογισμένη κίνηση για να καλύψει τα ίχνη του.

Άγνωστο Πεδίο Εφαρμογής, Υψηλά Διακυβεύματα: Η Σιωπηλή Επέκταση του PumaBot

Οι ερευνητές δεν έχουν ακόμη προσδιορίσει την κλίμακα ή το ποσοστό επιτυχίας της εκστρατείας του PumaBot. Η έκταση των λιστών IP-στόχων παραμένει ασαφής. Ωστόσο, η εστίαση του botnet σε βαθύτερη διείσδυση δικτύου, αντί για δραστηριότητες χαμηλού βαθμού όπως οι επιθέσεις DDoS, υποδηλώνει ότι αποτελεί σημαντική απειλή για τις εταιρικές και κρίσιμες υποδομές.

Μείνετε μπροστά: Αμυνόμενοι ενάντια στο PumaBot και το είδος του

Για να μειώσετε τον κίνδυνο παραβίασης από το PumaBot ή παρόμοιες απειλές:

• Ενημέρωση υλικολογισμικού σε όλες τις συσκευές IoT
• Αλλαγή προεπιλεγμένων διαπιστευτηρίων
• Ανάπτυξη τείχους προστασίας και περιορισμός της πρόσβασης SSH
• Απομόνωση συσκευών IoT σε τμηματοποιημένα δίκτυα

Οι προληπτικές πρακτικές ασφαλείας είναι απαραίτητες για να κρατηθούν μακριά οι παράγοντες των botnet και να προστατευτούν τα εταιρικά δίκτυα από βαθύτερες παραβιάσεις.