SBIDIOT Malware
La proliferazione di dispositivi IoT (Internet of Things) continua a mostrare una rapida crescita nel settore industriale, in particolare. Di conseguenza, i criminali informatici hanno trovato un nuovo ampio pool di potenziali bersagli per l'infezione da malware. Una delle ultime minacce progettate per violare specificamente i dispositivi IoT è chiamata SBIDIOT Malware.
Come con la maggior parte delle minacce IoT, l'obiettivo principale del malware SBIDIOT è incorporare tutti i dispositivi infetti in una botnet. Sebbene la potenza di calcolo delle botnet possa essere utilizzata in molti modi diversi, il più importante è lanciare attacchi DDoS contro obiettivi specifici. DDOS sta per Distributed Denial of Service: i dispositivi nella botnet iniziano a generare un carico eccessivo sul server scelto dagli hacker, che impedirà agli utenti di accedere ai suoi servizi. Un metodo che SBIDIOT Malware è stato osservato utilizzare per la proliferazione è quello di sfruttare una vulnerabilità RCE (Remote Code Execution) nei router ZTE.
Funzionalità malware SBIDIOT
L'analisi del codice della minaccia eseguita dai ricercatori di infosec ha rivelato che SBIDIOT Malware è in grado di eseguire un totale di 16 comandi ricevuti dal server Command-and-Control (C2, C&C) e confrontati con un elenco di stringhe. L'indirizzo IP e la porta del C2 sono hardcoded nel binario di SBIDIOT. L'elenco completo è: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop, stop.
Non sorprende che quasi tutte le azioni eseguite dalla minaccia siano correlate al lancio di attacchi DDoS attraverso metodi diversi e argomenti richiesti. Ad esempio, il comando HTTPSTOMP viene definito tramite un metodo HTTP, una combinazione host / porta, la durata dell'attacco e un conteggio che specifica quante volte verranno ripetute le operazioni. I comandi HEX, STD, R6, NFO, FN, OVHKILL, NFOKILL e UDPH chiamano tutti la stessa funzione che richiede un nome host, una porta e un limite alla durata dell'attacco. Inizierà quindi a generare traffico UDP con un payload fisso.
Le principali eccezioni sono i comandi STOP, stop e Stop. Quando vengono avviati, inviano un segnale SIGKILL a tutti gli ID di processo che vengono tracciati al momento. Ciò consente all'attore della minaccia di terminare immediatamente il processo scelto.
