GoBruteforceri botnetirünnakud

GoBruteforceri tegevuse uus laine on aktiivselt suunatud krüptovaluuta ja plokiahela projektidega seotud andmebaasidele. Ründajad kaasavad haavatavaid servereid hajutatud botnetisse, mis on võimeline teostama ulatuslikke jõhkraid rünnakuid levinud teenuste, sealhulgas FTP, MySQL, PostgreSQL ja phpMyAdmin vastu Linuxi süsteemides.

See kampaania ei ole valimatu. Tõendid näitavad selget keskendumist plokiahela ökosüsteemidega seotud infrastruktuurile, mis peegeldab nii rahalist motivatsiooni kui ka selles sektoris leiduvate halvasti turvatud arenduskeskkondade rohkust.

Miks see kampaania hoogu kogub

Praegust hüpet õhutavad kaks kokkulangevat trendi. Esiteks kasutavad administraatorid üha enam tehisintellekti loodud juurutusjuhendeid ja serverinäiteid, millest paljud kopeerivad samu nõrku vaikekasutajanimesid ja -mandaate, mida leidub veebijuhendites ja dokumentatsioonis. Teiseks juurutatakse endiselt vananenud veebipakke, eriti XAMPP-i installatsioone, avatud FTP-teenuste ja administratiivliidestega, millel puudub piisav kaitse.

Kokkuvõttes pakuvad need tingimused ründajatele etteaimatavat ja viljakat rünnakupinda.

2023. aasta päritolust ohtlikuma 2025. aasta variandini

GoBruteforcer, tuntud ka kui GoBrut, dokumenteeriti esmakordselt 2023. aasta märtsis. Varased uuringud kirjeldasid Golangil põhinevat pahavara perekonda, mis oli loodud Unixi-laadsetele süsteemidele x86, x64 ja ARM arhitektuuridel. See juurutas käskluste ja juhtimise jaoks IRC-boti, paigaldas püsiva kaugjuurdepääsu jaoks veebikesta ja hankis bruteforce-mooduli täiendavate haavatavate hostide otsimiseks.

2025. aasta septembriks avastasid teadlased, et osad botvõrgust töötasid koos teise pahavara tüvega SystemBC, mis viitab jagatud infrastruktuurile või koordineeritud kontrollile.

2025. aasta keskpaik tähistas olulist tehnilist hüpet. Analüütikud tuvastasid keerukama variandi, mis hõlmas tugevalt hägustatud IRC-botti, mis oli ümber kirjutatud Golangi keelde, täiustatud püsivusmehhanisme, protsesside maskeerimise võimalusi ja dünaamiliselt hallatavaid volituste loendeid, mida sai nõudmisel uuendada.

Tehisintellekti ja arendajaharjumuste kujundatud volitusstrateegia

Pahavara toore jõu komponent tugineb levinud kasutajanimede ja paroolide hoolikalt valitud kombinatsioonidele, näiteks „myuser:Abcd@123” või „appeaser:admin123456”. Need ei ole juhuslikud valikud. Paljud neist pärinevad andmebaaside õpetustest, majutusdokumentatsioonist ja müüjate näidetest – materjalidest, mida on laialdaselt kasutatud suurtes keelemudelite koolituskorpustes. Seetõttu reprodutseerivad tehisintellekti tööriistad genereeritud konfiguratsioonilõikudes sageli samu vaikeväärtusi, standardiseerides tahtmatult nõrku volitusi eri juurutustes.

Täiendavad kasutajanimed rotatsioonis viitavad krüptovaluuta töövoogudele (nt „cryptouser”, „appcrypto”, „crypto_app” ja „crypto”) või on suunatud spetsiaalselt phpMyAdmini keskkondadele, sealhulgas „root”, „wordpress” ja „wpuser”.

Ründajad haldavad iga kampaania jaoks suhteliselt väikest ja stabiilset paroolide kogumit, värskendades selle baasi põhjal ülesannete nimekirju, vahetades samal ajal kasutajanimesid ja nišilisandeid mitu korda nädalas. FTP-rünnakuid koheldakse erinevalt: bruteforceri binaarfail sisaldab kõvakodeeritud mandaatide komplekti, mis on tihedalt seotud veebimajutuse vaikepakkide ja teenusekontodega.

Nakkusahel ja botnetivõrgu võimalused

Täheldatud sissetungid algavad enamasti internetile avatud FTP-teenusega XAMPP-serveris. Kui juurdepääs on saadud, laadivad ründajad üles PHP veebikesta. Seejärel kasutatakse seda kesta uuendatud IRC-boti toomiseks ja käivitamiseks hosti arhitektuurile kohandatud kesta skripti abil.

Pärast ohtu sattumist saab nakatunud süsteemi mitmel viisil ümber kujundada:

• See käitab brute-force mooduleid, et proovida sisselogimisi FTP, MySQL, PostgreSQL ja phpMyAdmin teenuste kaudu üle interneti.
• See majutab ja levitab pahatahtlikke andmeid äsja nakatunud masinatesse.
• See pakub IRC-stiilis käskude ja juhtimiste lõpp-punkte või toimib varu-C2-serverina, et parandada botneti vastupidavust.

Otsesed tõendid plokiahelale keskendunud operatsioonide kohta

Edasine uurimine näitas, et vähemalt üks ohustatud server kasutas spetsiaalset moodulit, mis oli loodud TRON-i plokiahela aadresside loendi läbivaatamiseks. Avalikku tronscanapi.com teenust kasutades päris pahavara kontojääke, et tuvastada rahakotte, millel oli nullist erinev summa raha. See võime viitab tugevalt teadlikule luurele, mis oli suunatud plokiahela projektidele ja krüptoga seotud infrastruktuurile, mitte ainult oportunistlikule skaneerimisele.

Kaitsjatele püsiv õppetund

GoBruteforcer illustreerib laiemat ja jätkuvat turvavea: ohustatud teenuste, nõrkade või taaskasutatud volituste ja üha automatiseeritud rünnakutööriistade ohtlikku koosmõju. Kuigi botnet ise ei ole tehniliselt murranguline, saavad selle operaatorid tohutut kasu avalikus internetis endiselt ligipääsetavate valesti konfigureeritud serverite suurest hulgast.

Kaitsjate jaoks kinnitab see kampaania tuttavat, kuid olulist sõnumit: kaotage vaikemandaadid, piirake administratiivseid liideseid, eemaldage pärandpaketid ja käsitlege tehisintellekti loodud juurutamise näiteid ebausaldusväärsete lähtepunktidena, mitte tootmisvalmis konfiguratsioonidena.