Ddostf Botnet

'Ddostf' malware botnet aktivno se fokusira na MySQL poslužitelje, s ciljem da ih preotme za platformu DDoS-as-a-Service koja iznajmljuje svoju vatrenu moć kolegama kibernetičkim kriminalcima. Prema nalazima istraživača kibernetičke sigurnosti, operateri Ddostf-a iskorištavaju ranjivosti u MySQL okruženjima koja nisu zakrpana ili koriste brutalne napade na slabe vjerodajnice administratorskog računa kako bi kompromitirali ciljane poslužitelje.

Hakeri koji stoje iza Ddostf Botneta iskorištavaju legitimne funkcije

Cyber napadači aktivno skeniraju Internet u potrazi za izloženim MySQL poslužiteljima i, nakon identifikacije, koriste tehnike brutalne sile kako bi ih probili. U slučaju Windows MySQL poslužitelja, akteri prijetnji koriste značajku poznatu kao korisnički definirane funkcije (UDF) za izvršavanje naredbi na ugroženom sustavu.

UDF je MySQL značajka koja korisnicima omogućuje definiranje funkcija u C ili C++, kompilirajući ih u DLL (biblioteku dinamičkih veza) datoteku za proširenje mogućnosti poslužitelja baze podataka. U ovom scenariju, napadači stvaraju vlastite UDF-ove i registriraju ih na poslužitelju baze podataka, nazivajući DLL datoteku 'amd.dll' i ugrađujući zlonamjerne funkcije, uključujući:

• Preuzimanje tereta kao što je Ddostf DDoS bot s udaljenog poslužitelja.
• Izvršavanje proizvoljnih naredbi na razini sustava koje šalju napadači.
• Hvatanje rezultata izvršenja naredbi, njihovo pohranjivanje u privremenu datoteku i njihovo slanje natrag napadačima.

Iskorištavanje UDF-ova služi kao mehanizam za učitavanje primarnog korisnog opterećenja napada — Ddostf bot klijenta. Međutim, ova zlouporaba UDF-ova također otvara vrata potencijalnoj instalaciji drugog zlonamjernog softvera, eksfiltraciji podataka, uspostavljanju stražnjih vrata za trajni pristup i raznim drugim zlonamjernim aktivnostima.

Ddostf Botnet se može povezati s novim adresama za upravljanje i kontrolu (C2).

Podrijetlom iz Kine, Ddostf je malware botnet koji se pojavio prije otprilike sedam godina, ciljajući na Linux i Windows sustave.

Nakon infiltracije u Windows sustave, zlonamjerni softver osigurava postojanost tako što se registrira kao sistemska usluga tijekom početnog izvođenja. Nakon toga dekriptira svoju konfiguraciju za upravljanje i upravljanje (C2) kako bi uspostavio vezu. Zlonamjerni softver zatim prikuplja informacije o glavnom sustavu, uključujući frekvenciju procesora, broj jezgri, pojedinosti o jeziku, verziju sustava Windows, brzinu mreže i još mnogo toga. Ovi podaci se prenose na C2 poslužitelj.

C2 poslužitelj ima mogućnost izdavanja različitih naredbi botnet klijentu, u rasponu od uputa za DDoS napad (kao što su SYN Flood, UDP Flood i HTTP GET/POST Flood napadi) do zahtjeva za prekid prijenosa informacija o statusu sustava, mijenjajući se u novu C2 adresu ili preuzimanje i izvođenje novog korisnog opterećenja. Jedinstvena značajka Ddostfa leži u njegovoj sposobnosti povezivanja s novom C2 adresom, osiguravajući mu otpornost na pokušaje uklanjanja—čime se razlikuje od većine DDoS botnet zlonamjernog softvera.

U svjetlu ovih razvoja događaja, stručnjaci za kibernetičku sigurnost preporučuju MySQL administratorima da ostanu na oprezu primjenom najnovijih ažuriranja i implementacijom snažnih sigurnosnih mjera, kao što je korištenje dugih i jedinstvenih lozinki. To pomaže zaštititi administratorske račune od potencijalnih brutalnih napada i napada rječnikom.