Ddostf Botnet
הבוטנט של תוכנות זדוניות 'Ddostf' מתמקדת באופן פעיל בשרתי MySQL, במטרה לחטוף אותם לפלטפורמת DDoS-as-a-Service שמשכירה את כוח האש שלה לפושעי סייבר אחרים. לפי ממצאי חוקרי אבטחת סייבר, המפעילים של Ddostf מנצלים נקודות תורפה בסביבות MySQL שלא טופלו או מפעילים התקפות בכוח גס על אישורי חשבון מנהל חלשים כדי לסכן את השרתים הממוקדים.
ההאקרים מאחורי ה-Ddostf Botnet מנצלים פונקציות לגיטימיות
תוקפי סייבר סורקים באופן פעיל את האינטרנט לאיתור שרתי MySQL חשופים, ועם זיהוי, משתמשים בטכניקות של כוח גס כדי לפרוץ אותם. במקרה של שרתי MySQL של Windows, גורמי איומים משתמשים בתכונה המכונה פונקציות מוגדרות על ידי משתמש (UDFs) כדי לבצע פקודות במערכת שנפרצה.
UDF היא תכונת MySQL המאפשרת למשתמשים להגדיר פונקציות ב-C או C++, קומפילציה לקובץ DLL (ספריית קישורים דינמית) כדי להרחיב את היכולות של שרת מסד הנתונים. בתרחיש זה, תוקפים יוצרים UDFs משלהם ורושמים אותם בשרת מסד הנתונים, מכנים את קובץ ה-DLL 'amd.dll' ומשלבים פונקציות זדוניות, כולל:
- הורדת עומסים כגון הבוט Ddostf DDoS משרת מרוחק.
- ביצוע פקודות שרירותיות ברמת המערכת שנשלחו על ידי התוקפים.
- לכידת תוצאות ביצוע הפקודה, אחסוןן בקובץ זמני ושליחתן חזרה לתוקפים.
ניצול UDFs משמש כמנגנון לטעינת המטען העיקרי של המתקפה - לקוח הבוט Ddostf. עם זאת, ניצול לרעה זה של UDFs גם פותח את הדלת להתקנה אפשרית של תוכנות זדוניות אחרות, חילוץ נתונים, הקמת דלתות אחוריות לגישה מתמשכת ופעילויות זדוניות שונות אחרות.
ה-Ddostf Botnet יכול להתחבר לכתובות חדשות לפיקוד ושליטה (C2).
מקורו בסין, Ddostf הוא רשת בוטנט זדונית שהופיעה לפני כשבע שנים, ומכוונת למערכות לינוקס ו-Windows כאחד.
עם חדירת מערכות Windows, התוכנה הזדונית מבטיחה התמדה בכך שהיא רושמת את עצמה כשירות מערכת במהלך הביצוע הראשוני שלה. לאחר מכן, הוא מפענח את תצורת ה-Command-and-Control (C2) שלו כדי ליצור חיבור. לאחר מכן, התוכנה הזדונית אוספת מידע על המערכת המארחת, כולל תדירות CPU, ספירת ליבות, פרטי שפה, גרסת Windows, מהירות רשת ועוד. נתונים אלה מועברים לשרת C2.
לשרת C2 יש יכולת להנפיק פקודות שונות ללקוח הבוטנט, החל מהוראות התקפת DDoS (כגון SYN Flood, UDP Flood והתקפות HTTP GET/POST Flood) ועד בקשות להפסקת העברת מידע סטטוס המערכת, שינוי ל- כתובת C2 חדשה, או הורדה וביצוע של מטען חדש. התכונה הייחודית של Ddostf טמונה ביכולתה להתחבר לכתובת C2 חדשה, ולספק לה עמידות בפני ניסיונות הסרה - מבדיל אותה מרוב תוכנות זדוניות הבוטנט DDoS.
לאור ההתפתחויות הללו, מומחי אבטחת סייבר ממליצים למנהלי MySQL להישאר ערניים על ידי יישום העדכונים האחרונים ויישום אמצעי אבטחה חזקים, כגון שימוש בסיסמאות ארוכות וייחודיות. זה עוזר להגן על חשבונות אדמין מפני התקפות פוטנציאליות של כוח גס ומילונים.
