Botnet SSHStalker

Penganalisis keselamatan siber telah menemui operasi botnet yang dikenali sebagai SSHStalker, yang memanfaatkan protokol Internet Relay Chat (IRC) untuk komunikasi Perintah dan Kawalan (C2). Dengan menggabungkan mekanik botnet IRC tradisional dengan teknik kompromi besar-besaran automatik, kempen ini mencerminkan pendekatan yang dikira dan metodis terhadap penyusupan infrastruktur.

Tidak seperti botnet moden yang mengutamakan pengewangan pantas, SSHStalker menekankan kegigihan dan pengembangan terkawal, menandakan objektif yang berpotensi strategik dan bukannya keuntungan kewangan segera.

Strategi Eksploitasi: Menyasarkan Mereka yang Dilupakan dan Mereka yang Belum Ditambal

Teras SSHStalker terletak pada fokus yang disengajakan pada sistem Linux legasi. Kit alat ini menggabungkan koleksi 16 kerentanan kernel Linux, kebanyakannya berasal dari tahun 2009 dan 2010. Walaupun sebahagian besarnya tidak berkesan terhadap sistem kontemporari yang ditambal sepenuhnya, eksploitasi ini tetap berdaya maju terhadap infrastruktur yang ketinggalan zaman atau diabaikan.

Kerentanan ketara yang dimanfaatkan dalam kempen ini termasuk CVE-2009-2692, CVE-2009-2698, CVE-2010-3849, CVE-2010-1173, CVE-2009-2267, CVE-2009-2908, CVE-2009-3547, CVE-2010-2959 dan CVE-2010-3437. Pergantungan pada kelemahan lama ini menunjukkan strategi pragmatik: mengeksploitasi persekitaran legasi jangka panjang yang sering terlepas daripada pengawasan keselamatan moden.

Pengembangan Seperti Cacing Melalui Automasi SSH

SSHStalker mengintegrasikan keupayaan pengimbasan automatik untuk meluaskan jangkauannya. Pengimbas berasaskan Golang secara aktif menyiasat port 22 untuk mengenal pasti sistem yang mendedahkan perkhidmatan SSH. Sebaik sahaja ditemui, hos yang mudah terjejas akan dikompromi dan didaftarkan ke dalam saluran IRC, sekali gus mengembangkan botnet dengan berkesan seperti cacing.

Beberapa muatan digunakan semasa jangkitan, termasuk varian bot yang dikawal IRC dan bot fail berasaskan Perl. Komponen ini bersambung ke pelayan UnrealIRCd, menyertai saluran kawalan yang ditetapkan dan menunggu arahan. Infrastruktur ini menyokong serangan trafik gaya banjir yang diselaraskan dan pengurusan bot berpusat.

Walaupun terdapat keupayaan ini, kempen ini terutamanya menahan diri daripada terlibat dalam aktiviti pengewangan pasca eksploitasi yang biasa seperti serangan penafian perkhidmatan teragih, penjahitan proksi atau perlombongan mata wang kripto. Sebaliknya, sistem yang dikompromi sebahagian besarnya kekal tidak aktif, mengekalkan akses yang berterusan. Postur operasi yang terkawal ini mencadangkan kes penggunaan yang berpotensi seperti pementasan, pengekalan akses atau operasi yang diselaraskan pada masa hadapan.

Kerahsiaan, Kegigihan dan Anti-Forensik

Sia-sia operasi merupakan ciri penting SSHStalker. Perisian hasad ini menggunakan utiliti pembersihan log yang memanipulasi rekod utmp, wtmp dan lastlog untuk menyembunyikan akses SSH yang tidak dibenarkan. Program C tersuai dilaksanakan untuk mengalih keluar kesan aktiviti berniat jahat daripada log sistem, sekali gus mengurangkan keterlihatan forensik.

Bagi memastikan daya tahan, toolkit ini merangkumi mekanisme kekal aktif yang direka untuk melancarkan semula proses perisian hasad utama dalam masa 60 saat jika ditamatkan. Strategi kegigihan ini mengukuhkan ketahanan pijakan merentasi persekitaran yang terjejas.

Infrastruktur Pementasan dan Arsenal Peralatan Serangan

Analisis infrastruktur pementasan yang berkaitan telah mendedahkan repositori alat yang menyinggung perasaan dan perisian hasad yang didokumenkan sebelum ini. Kit alat ini merangkumi:

• Rootkit direka untuk meningkatkan stealth dan mengekalkan kegigihan
• Pelombong mata wang kripto
• Skrip Python yang melaksanakan binari bernama 'website grabber' untuk menuai kelayakan Perkhidmatan Web Amazon (AWS) yang terdedah daripada laman web yang terdedah
• EnergyMech, bot IRC yang membolehkan arahan dan kawalan serta pelaksanaan arahan jarak jauh

Koleksi ini mengetengahkan rangka kerja operasi yang fleksibel yang mampu menyesuaikan diri dengan pelbagai objektif serangan.

Petunjuk Atribusi dan Pertindihan Operasi

Petunjuk dalam saluran IRC dan senarai perkataan konfigurasi mencadangkan kemungkinan asal usul Romania, termasuk kehadiran nama panggilan dan slanga gaya Romania. Di samping itu, ciri-ciri operasi bertindih dengan ketara dengan ciri-ciri kumpulan penggodam yang dikenali sebagai Outlaw (juga dirujuk sebagai Dota), yang menunjukkan potensi gabungan atau perkongsian perdagangan.

Orkestrasi Matang Berbanding Eksploitasi Novel

SSHStalker tidak bergantung pada kerentanan zero-day atau pembangunan rootkit yang inovatif. Sebaliknya, kempen ini menunjukkan kawalan operasi yang berdisiplin dan orkestrasi yang berkesan. Bot teras dan komponen peringkat rendah terutamanya ditulis dalam C, dengan skrip shell yang mengurus kegigihan dan automasi. Python dan Perl digunakan secara selektif untuk fungsi utiliti dan tugas sokongan dalam rantaian jangkitan.

Kempen ini mencontohi aliran kerja kompromi besar-besaran yang berstruktur dan boleh diskala yang menekankan kitar semula infrastruktur, automasi dan kegigihan jangka panjang merentasi pelbagai persekitaran Linux. Kekuatannya terletak pada pelaksanaan, penyelarasan dan eksploitasi strategik sistem yang diabaikan dan bukannya inovasi.