بدافزار RapperBot

محققان Infosec یک بدافزار خطرناک IoT (اینترنت اشیا) را شناسایی کرده اند که با نام RapperBot ردیابی می شود. تجزیه و تحلیل این تهدید نشان می دهد که سازندگان آن از کد منبع بات نت بدنام Mirai به شدت استفاده کرده اند. تهدید Mirai قبل از افشای کد منبع آن به عموم در اکتبر 2016 در چندین حمله با مشخصات بالا مورد استفاده قرار گرفت. از آن زمان محققان امنیت سایبری بیش از 60 نوع بات نت و بدافزار را با استفاده از Mirai به عنوان پایه شناسایی کرده اند. با این حال، وقتی صحبت از RapperBot می‌شود، تهدید چندین انحراف عمده از رفتار معمولی Mirai را نشان می‌دهد.

اخیراً در گزارشی توسط محققان امنیتی جزئیاتی در مورد RapperBot منتشر شده است. بر اساس یافته های آنها، این تهدید از ژوئن 2022 فعال بوده و در حال توسعه سریع است. تهدید بات‌نت از تاکتیک‌های brute-force برای به دست آوردن جای پایی در سرورهای SSH لینوکس استفاده می‌کند، برخلاف اجرای معمولی Mirai که سرورهای Telnet را هدف قرار می‌دهد.

بر اساس این گزارش، RapperBot به سرعت در حال رشد سرورهای SSH برده شده خود با بیش از 3500 آدرس IP منحصربه‌فرد است که اینترنت را اسکن می‌کنند و به قربانیان جدید راه پیدا می‌کنند. همچنین به نظر می‌رسد که RapperBot تکنیک‌های خود انتشاری شبیه Mira را به نفع روش‌های مبتنی بر پایداری پشت سر گذاشته است. در نتیجه، تهدید می تواند حتی پس از راه اندازی مجدد یا تلاش برای حذف توسط قربانیان، روی سیستم آلوده باقی بماند.

دسترسی به سرورهای شکسته شده از طریق افزودن کلید عمومی SSH اپراتورها به دست می آید. کلید به یک فایل خاص به نام '~/.ssh/authorized_keys' تزریق می شود. پس از آن، عوامل تهدید می توانند آزادانه به سرور متصل شوند و تنها با استفاده از کلید خصوصی مربوطه بدون نیاز به ارائه رمز عبور، احراز هویت را انجام دهند. این تکنیک دسترسی به سرور را حفظ می کند حتی اگر اعتبارنامه SSH به روز شود یا احراز هویت رمز عبور SSH غیرفعال باشد. علاوه بر این، با جایگزینی فایل قانونی، مجرمان سایبری تمامی کلیدهای مجاز موجود را حذف کرده اند و از دسترسی موفقیت آمیز کاربران قانونی به سرور SSH آسیب دیده از طریق احراز هویت کلید عمومی جلوگیری می کنند.

اهداف اپراتورهای بدافزار RapperBot همچنان مبهم است. برای مثال، عوامل تهدید، قابلیت‌های DDoS (منع سرویس توزیع شده) تهدید را به طور کامل حذف می‌کنند، فقط برای اینکه مورد دوم را به شکلی محدود دوباره معرفی کنند.