CatDDoS 봇넷
보다 활동적인 주류 DDoS 봇넷을 분석하는 연구원들은 CatDDoS 관련 사이버조직의 공격 작전이 급증했다고 보고했습니다. 조사 과정에서 전문가들은 사이버 범죄자들이 단 3개월 만에 80개 이상의 취약점을 악용하여 대상 장치를 손상시켰다는 사실을 확인했습니다. 또한 하루 최대 대상 수는 300개 이상인 것으로 관찰되었습니다. 공격자의 목표는 취약한 장치에 침투하여 이를 탈취하여 DDoS(분산 서비스 거부) 공격을 수행하는 봇넷의 일부가 되도록 하는 것입니다.
목차
사이버 범죄자들은 CatDDoS 봇넷을 전달하기 위해 수많은 취약점을 악용합니다.
이러한 취약점은 Apache(ActiveMQ, Hadoop, Log4j 및 RocketMQ), Cacti, Cisco, D-Link, DrayTek, FreePBX, GitLab, Gocloud, Huawei, Jenkins, Linksys, Metabase, NETGEAR, Realtek, Seagate, SonicWall, Tenda, TOTOLINK, TP-Link, ZTE, Zyxel 및 기타. 연구원들은 특정 취약점이 아직 확인되지 않은 상태로 남아 있으며 특정 조건에서 제로데이 취약점일 가능성이 있다고 지적했습니다.
CatDDoS는 악명 높은 Mirai 봇넷을 기반으로 합니다.
CatDDoS는 처음부터 Mirai 의 변종이었습니다. 이 이름은 초기 도메인 이름과 샘플에 'cat'과 'meow'가 포함된 것에서 유래되었으며, 이는 작성자가 고양이 테마에 대한 선호도를 나타냅니다. 2023년 8월에 처음 등장한 CatDDoS의 최근 버전은 이전 버전에 비해 통신 방법이 최소한으로 변경되었습니다.
연구원들 사이에서는 CatDDoS가 작년 말에 종료되었을 수도 있다는 추측이 있습니다. 그럼에도 불구하고 위협의 소스 코드는 제작자가 판매했거나 독립적으로 유출되었습니다. 결과적으로 RebirthLTD, Komaru, Cecilio Network와 같은 새로운 반복이 결과적으로 나타났습니다.
여러 사이버 범죄 그룹이 자체 CatDDoS 봇넷 변종을 만들었습니다.
다양한 그룹이 CatDDoS 봇넷의 다양한 반복을 감독할 수 있지만 코드 구조, 통신 프로토콜, 문자열 패턴, 암호 해독 방법 및 기타 측면에는 최소한의 차이가 있습니다. 결과적으로 연구원들은 이러한 변종을 CatDDoS 관련 갱단으로 알려진 통합 클러스터로 통합했습니다.
가장 최근의 활성 변종 중에는 v-2.0.4(CatDDoS) 및 v-Rebirth(RebirthLTD)가 있으며, 둘 다 데이터 전송에 동일한 키와 nonce를 사용하여 chacha20 암호화를 사용합니다. 불일치는 v-2.0.4가 OpenNIC 도메인을 명령 및 제어(C2) 도메인 이름으로 활용한다는 점에 있습니다. RebirthLTD는 처음에는 Mirai의 원본 코드를 활용했지만 나중에 CatDDoS의 코드베이스로 전환하여 자주 업데이트되고 있습니다.
본질적으로 CatDDoS 관련 샘플은 이전 버전에 비해 최소한의 변경을 거쳤습니다. 리버스 엔지니어링의 복잡성을 높이기 위해 몇 가지 사소한 조정이 구현되었습니다. 따라서 변화가 존재하기는 하지만 그 변화는 상대적으로 제한적이라는 데 의견이 일치합니다.
CatDDoS 봇넷 공격 작전에서 관찰된 다양한 표적
2023년 10월 현재, 악성 코드에 의해 공격을 받는 대상의 대부분은 중국에 위치하고 있으며, 미국, 일본, 싱가포르, 프랑스, 캐나다, 영국, 불가리아, 독일, 네덜란드 및 인도가 그 뒤를 따릅니다.
그 이후로 연구자들은 미국, 프랑스, 독일, 브라질, 중국과 같은 국가로 초점이 이동하는 것을 관찰했습니다. 대상은 클라우드 서비스 제공업체, 교육, 과학 연구, 정보 전송, 공공 행정, 건설 등 다양한 산업 분야에 걸쳐 있습니다.
특히 이 악성코드는 C2 서버와의 통신을 암호화하기 위해 ChaCha20 알고리즘을 사용하는 것 외에도 이전에 Fodcha라고 알려진 다른 Mirai 기반 DDoS 봇넷에서 사용했던 전술인 C2용 OpenNIC 도메인을 사용합니다. 흥미롭게도 CatDDoS는 hailBot, VapeBot 및 Woodman이라는 세 가지 다른 DDoS 봇넷과 ChaCha20 알고리즘에 대해 동일한 키/논스 쌍을 공유합니다.
