SSHStalker Botnet

Analitičari kibernetičke sigurnosti otkrili su botnet operaciju poznatu kao SSHStalker, koja koristi protokol Internet Relay Chat (IRC) za komunikaciju Command-and-Control (C2). Kombinirajući tradicionalne mehanike IRC botneta s automatiziranim tehnikama masovnog kompromitiranja, ova kampanja odražava proračunat i metodičan pristup infiltraciji infrastrukture.

Za razliku od modernih botneta koji daju prioritet brzoj monetizaciji, SSHStalker naglašava upornost i kontrolirano širenje, signalizirajući potencijalno strateški cilj, a ne trenutnu financijsku dobit.

Strategija iskorištavanja: Ciljanje zaboravljenih i nezakrpljenih

U srži SSHStalkera leži namjerni fokus na naslijeđene Linux sustave. Alat uključuje kolekciju od 16 ranjivosti Linux kernela, od kojih mnoge datiraju iz 2009. i 2010. godine. Iako su uglavnom neučinkovite protiv suvremenih, potpuno zakrpanih sustava, ove ranjivosti ostaju održive protiv zastarjele ili zanemarene infrastrukture.

Značajne ranjivosti korištene u kampanji uključuju CVE-2009-2692, CVE-2009-2698, CVE-2010-3849, CVE-2010-1173, CVE-2009-2267, CVE-2009-2908, CVE-2009-3547, CVE-2010-2959 i CVE-2010-3437. Ovo oslanjanje na starije nedostatke pokazuje pragmatičnu strategiju: iskorištavanje dugotrajnih naslijeđenih okruženja koja često izmiču modernom sigurnosnom nadzoru.

Širenje nalik crvu putem SSH automatizacije

SSHStalker integrira mogućnosti automatiziranog skeniranja kako bi proširio svoj doseg. Skener temeljen na Golangu aktivno ispituje port 22 kako bi identificirao sustave koji izlažu SSH usluge. Nakon što se otkriju, ranjivi hostovi se kompromitiraju i upisuju u IRC kanale, učinkovito šireći botnet na način sličan crvu.

Tijekom infekcije raspoređuje se nekoliko korisnih podataka, uključujući varijante bota kontroliranog IRC-om i bota za datoteke temeljenog na Perlu. Ove komponente povezuju se s UnrealIRCd poslužiteljem, pridružuju se određenim kontrolnim kanalima i čekaju upute. Infrastruktura podržava koordinirane napade u stilu poplave i centralizirano upravljanje botovima.

Unatoč tim mogućnostima, kampanja se značajno suzdržava od sudjelovanja u uobičajenim aktivnostima monetizacije nakon iskorištavanja kao što su distribuirani napadi uskraćivanjem usluge, proxyjacking ili rudarenje kriptovaluta. Umjesto toga, kompromitirani sustavi ostaju uglavnom neaktivni, održavajući stalan pristup. Ovaj ograničeni operativni stav sugerira potencijalne slučajeve upotrebe kao što su staging, zadržavanje pristupa ili buduće koordinirane operacije.

Prikrivenost, upornost i antiforenzika

Operativna prikrivenost je ključna značajka SSHStalkera. Zlonamjerni softver koristi uslužne programe za čišćenje zapisa koji manipuliraju utmp, wtmp i lastlog zapisima kako bi prikrio neovlašteni SSH pristup. Izvršavaju se prilagođeni C programi za uklanjanje tragova zlonamjerne aktivnosti iz sistemskih zapisa, smanjujući forenzičku vidljivost.

Kako bi se osigurala otpornost, alati uključuju mehanizam održavanja rada osmišljen za ponovno pokretanje primarnog procesa zlonamjernog softvera unutar 60 sekundi ako se prekine. Ova strategija upornosti jača izdržljivost u kompromitiranim okruženjima.

Infrastruktura za pripremu i arsenal ofenzivnih alata

Analiza povezane infrastrukture za testiranje otkrila je širok repozitorij ofenzivnih alata i prethodno dokumentiranog zlonamjernog softvera. Alat uključuje:

• Rootkitovi osmišljeni za poboljšanje prikrivenosti i održavanje upornosti
• Rudari kriptovaluta
• Python skripta koja izvršava binarnu datoteku pod nazivom 'website grabber' za prikupljanje izloženih Amazon Web Services (AWS) vjerodajnica s ranjivih web stranica
• EnergyMech, IRC bot koji omogućuje upravljanje i kontrolu te izvršavanje naredbi na daljinu

Ova zbirka ističe fleksibilan operativni okvir sposoban za prilagodbu višestrukim ciljevima napada.

Tragovi atribucije i operativno preklapanje

Pokazatelji unutar IRC kanala i popisa riječi u konfiguraciji ukazuju na moguće rumunjsko podrijetlo, uključujući prisutnost nadimaka i slenga u rumunjskom stilu. Osim toga, operativne karakteristike značajno se preklapaju s onima hakerske skupine poznate kao Outlaw (također poznate kao Dota), što ukazuje na potencijalnu povezanost ili zajedničko trgovanje.

Zrela orkestracija umjesto iskorištavanja romana

SSHStalker se ne oslanja na zero-day ranjivosti ili revolucionarni razvoj rootkita. Umjesto toga, kampanja demonstrira discipliniranu operativnu kontrolu i učinkovitu orkestraciju. Osnovni bot i komponente niske razine prvenstveno su napisani u C-u, a shell skripte upravljaju perzistencijom i automatizacijom. Python i Perl se selektivno koriste za korisne funkcije i zadatke podrške unutar lanca infekcije.

Ova kampanja primjer je strukturiranog, skalabilnog tijeka rada masovnog kompromisa koji naglašava recikliranje infrastrukture, automatizaciju i dugoročnu postojanost u različitim Linux okruženjima. Umjesto inovacije, njegova snaga leži u izvršenju, koordinaciji i strateškom iskorištavanju zanemarenih sustava.