PumaBot Botnet

یک بات‌نت لینوکسی تازه کشف‌شده به نام PumaBot، در حال ایجاد اختلال در دستگاه‌های اینترنت اشیا است. این بدافزار که به زبان Go نوشته شده است، از روش‌های جستجوی فراگیر برای شکستن اعتبارنامه‌های SSH استفاده می‌کند و پس از دسترسی، بارهای مخرب را مستقر می‌کند. برخلاف بات‌نت‌های سنتی که اینترنت را به‌طور بی‌هدف اسکن می‌کنند، PumaBot روی آدرس‌های IP خاصی که مستقیماً از سرور فرماندهی و کنترل (C2) خود دریافت می‌کند، تمرکز می‌کند.

هدف‌گیری دقیق: یک تغییر تاکتیکی در بهره‌برداری از اینترنت اشیا

پومابات با دریافت فهرست‌های هدف IP از سرور C2 خود (ssh.ddos-cc.org) خود را متمایز می‌کند و به آن اجازه می‌دهد حملات بسیار متمرکزی انجام دهد. این رویکرد از اسکن‌های گسترده اینترنتی جلوگیری می‌کند و نشان می‌دهد که قصد دارد سازمان‌ها یا دستگاه‌های خاصی را به خطر بیندازد. این بدافزار حتی دستگاه‌ها را برای یافتن رشته «پوماترونیک» بررسی می‌کند - سرنخی که ممکن است به هدف قرار دادن سیستم‌های دوربین نظارتی و ترافیکی تولید شده توسط این فروشنده اشاره داشته باشد.

از شناسایی تا ریشه‌کنی: چرخه حمله پومابات

پس از انتخاب دستگاه، PumaBot تلاش‌های ورود به سیستم SSH را با استفاده از روش جستجوی فراگیر (brute-force) روی پورت ۲۲ انجام می‌دهد. در صورت موفقیت، دستور 'uname -a' را برای جمع‌آوری اطلاعات سیستم و تأیید اینکه دستگاه یک هانی‌پات (honeypot) نیست، اجرا می‌کند. پس از این تأیید، بات‌نت:

• فایل باینری اصلی (jierui) خود را در /lib/redis می‌نویسد.
• یک سرویس systemd پایدار (redis.service) نصب می‌کند.
• کلید SSH خود را برای دسترسی طولانی مدت، حتی پس از پاکسازی سیستم، به authorized_keys تزریق می‌کند.

فراتر از آلودگی: اجرای فرمان و سرقت داده‌ها

با دسترسی امن، PumaBot می‌تواند دستورات بیشتری را اجرا کند، از جمله:

• استقرار محموله‌های جدید
• استخراج داده‌های حساس
• تسهیل حرکت جانبی در شبکه‌ها
• بارهای داده شناسایی شده عبارتند از:
• اسکریپت‌های خود-به‌روزرسان
• روت‌کیت‌های PAM که جایگزین pam_unix.so می‌شوند
• یک فایل باینری دیمن (با نام ۱) که به عنوان ناظر فایل عمل می‌کند

ماژول مخرب PAM، اطلاعات احراز هویت SSH را ثبت کرده و آنها را در con.txt ذخیره می‌کند. فایل باینری ۱ این فایل را رصد می‌کند و پس از یافتن، آن را قبل از پاک کردن از سیستم آلوده، به سرور C2 ارسال می‌کند - اقدامی حساب‌شده برای پوشاندن ردپای خود.

دامنه ناشناخته، مخاطرات بالا: گسترش بی‌سروصدای پومابات

محققان هنوز مقیاس یا میزان موفقیت کمپین PumaBot را مشخص نکرده‌اند. میزان فهرست IPهای هدف هنوز مشخص نیست. با این حال، تمرکز این بات‌نت بر نفوذ عمیق‌تر به شبکه، به جای فعالیت‌های سطح پایین مانند حملات DDoS، نشان می‌دهد که تهدیدی قابل توجه برای زیرساخت‌های شرکتی و حیاتی محسوب می‌شود.

پیشتاز باشید: دفاع در برابر پومابات و انواع آن

برای کاهش خطر نفوذ توسط PumaBot یا تهدیدهای مشابه:

• به‌روزرسانی میان‌افزار (Firmware) در تمام دستگاه‌های اینترنت اشیا
• تغییر اعتبارنامه‌های پیش‌فرض
• فایروال‌ها را مستقر کنید و دسترسی SSH را محدود کنید
• دستگاه‌های اینترنت اشیا را در شبکه‌های بخش‌بندی‌شده ایزوله کنید

اقدامات امنیتی پیشگیرانه برای دور نگه داشتن عاملان بات‌نت و محافظت از شبکه‌های سازمانی در برابر نقض‌های عمیق‌تر ضروری است.