SSHStalkeri botnet

Küberjulgeoleku analüütikud on paljastanud botnetioperatsiooni SSHStalker, mis kasutab käsu- ja kontrolli (C2) suhtluseks Internet Relay Chat (IRC) protokolli. Kombineerides traditsioonilisi IRC botneti mehaanikaid automatiseeritud massilise kompromiteerimise tehnikatega, peegeldab see kampaania kalkuleeritud ja metoodilist lähenemist infrastruktuuri sissetungimisele.

Erinevalt tänapäevastest botnetidest, mis seavad esikohale kiire raha teenimise, rõhutab SSHStalker püsivust ja kontrollitud laienemist, andes märku potentsiaalselt strateegilisest eesmärgist, mitte kohesest rahalisest kasust.

Ärakasutamise strateegia: sihtmärgiks unustatud ja parandamata jäänu

SSHStalkeri tuumaks on teadlik keskendumine vananenud Linuxi süsteemidele. Tööriistakomplekt sisaldab 16 Linuxi kerneli haavatavuse kogu, millest paljud pärinevad aastatest 2009 ja 2010. Kuigi need haavatavused on tänapäevaste, täielikult parandatud süsteemide vastu suures osas ebaefektiivsed, on need siiski elujõulised vananenud või tähelepanuta jäetud infrastruktuuri vastu.

Kampaanias ära kasutatud märkimisväärsete haavatavuste hulka kuuluvad CVE-2009-2692, CVE-2009-2698, CVE-2010-3849, CVE-2010-1173, CVE-2009-2267, CVE-2009-2908, CVE-2009-3547, CVE-2010-2959 ja CVE-2010-3437. See vanemate vigade kasutamine näitab pragmaatilist strateegiat: pikkade pärandkeskkondade ärakasutamine, mis sageli tänapäevase turvakontrolli alt pääsevad.

Ussilaadne laienemine SSH automatiseerimise kaudu

SSHStalker integreerib automatiseeritud skannimisvõimalused oma ulatuse laiendamiseks. Golangil põhinev skanner sondeerib aktiivselt porti 22, et tuvastada süsteeme, mis võivad SSH-teenuseid kahjustada. Pärast avastamist ohustatud hostid kompromiteeritakse ja registreeritakse IRC-kanalitesse, laiendades botnetti ussilaadselt.

Nakatamise ajal rakendatakse mitu kasulikku koormust, sealhulgas IRC-juhitava boti ja Perli-põhise failiboti variante. Need komponendid loovad ühenduvuse UnrealIRCd serveriga, liituvad määratud juhtimiskanalitega ja ootavad juhiseid. Taristu toetab koordineeritud üleujutustüüpi liiklusrünnakuid ja tsentraliseeritud botide haldamist.

Vaatamata neile võimalustele hoidub kampaania märkimisväärselt tavapäraste ekspluateerimisjärgsete monetiseerimistegevuste, näiteks hajutatud teenusetõkestusrünnakute, puhverserverite kaevandamise või krüptovaluuta kaevandamise eest. Selle asemel jäävad ohustatud süsteemid suures osas passiivsesse seisu, säilitades püsiva juurdepääsu. See vaoshoitud operatiivne hoiak viitab potentsiaalsetele kasutusjuhtudele, nagu näiteks testimine, juurdepääsu säilitamine või tulevased koordineeritud operatsioonid.

Varjatus, püsivus ja kohtuekspertiisi vastane võitlus

SSHStalkeri iseloomulik tunnus on operatiivne varjatus. Pahavara kasutab logide puhastamise utiliite, mis manipuleerivad utmp, wtmp ja lastlogi kirjetega, et varjata volitamata SSH-juurdepääsu. Pahatahtliku tegevuse jälgede eemaldamiseks süsteemilogidest käivitatakse kohandatud C-programme, vähendades kohtuekspertiisi nähtavust.

Vastupidavuse tagamiseks sisaldab tööriistakomplekt elushoidmise mehhanismi, mis on loodud peamise pahavaraprotsessi taaskäivitamiseks 60 sekundi jooksul, kui see peatatakse. See püsivusstrateegia tugevdab vastupidavust ohustatud keskkondades.

Lavastuslik infrastruktuur ja rünnakuvahendite arsenal

Seotud testimisinfrastruktuuri analüüs on paljastanud laia valikut solvavaid tööriistu ja varem dokumenteeritud pahavara. Tööriistakomplekt sisaldab:

• Varjatuse suurendamiseks ja püsivuse säilitamiseks loodud juurkomplektid
• Krüptovaluuta kaevurid
• Pythoni skript, mis käivitab binaarfaili nimega „website grabber”, et koguda haavatavatelt veebisaitidelt Amazon Web Services'i (AWS) mandaate.
• EnergyMech, IRC-bot, mis võimaldab käskluste ja juhtimist ning käskude kaugjuhtimist

See kogumik toob esile paindliku operatiivraamistiku, mis on võimeline kohanema mitmete rünnakueesmärkidega.

Omistamisvihjed ja tegevuste kattumine

IRC-kanalite ja konfiguratsioonisõnaloendite indikaatorid viitavad võimalikule Rumeenia päritolule, sealhulgas Rumeenia-stiilis hüüdnimede ja slängi olemasolule. Lisaks kattuvad tegevusalased omadused oluliselt häkkerirühmituse Outlaw (tuntud ka kui Dota) omadega, mis viitab võimalikule seotusele või ühisele kaubandusele.

Küps orkestreerimine romaani ekspluateerimise asemel

SSHStalker ei tugine nullpäeva haavatavustele ega murrangulisele juurkomplektide arendusele. Selle asemel demonstreerib kampaania distsiplineeritud operatiivkontrolli ja tõhusat orkestreerimist. Põhirobotid ja madala taseme komponendid on peamiselt kirjutatud C-keeles, kusjuures kesta skriptid haldavad püsivust ja automatiseerimist. Pythoni ja Perli kasutatakse valikuliselt utiliidifunktsioonide ja tugiülesannete jaoks nakkusahelas.

See kampaania on näide struktureeritud ja skaleeritavast massilise kompromissi töövoost, mis rõhutab infrastruktuuri taaskasutamist, automatiseerimist ja pikaajalist püsivust erinevates Linuxi keskkondades. Innovatsiooni asemel peitub selle tugevus teostuses, koordineerimises ja tähelepanuta jäetud süsteemide strateegilises ärakasutamises.