HEH-botnet

Onderzoekers hebben een nieuw botnet ontdekt dat zich actief verspreidt. Volgens hun bevindingen kan het botnet met de naam HEH thuisrouters, Internet of Things (IoT) -apparaten, Linux-servers en zelfs Windows-systemen in gevaar brengen. De enige vereiste is dat de doelen zwakke Telnet-referenties hebben, aangezien het botnet zich voortplant door middel van brute-force-aanvallen op open Telnet-poorten (23 en 2323). Als het HEH Botnet met succes inbreuk maakt op het apparaat, zet het een van de zeven binaire bestanden in die de HEH-malware moeten installeren. Opgemerkt moet worden dat hoewel het botnet Windows-systemen kan compromitteren, de malware die het levert alleen kan worden uitgevoerd op * NIX-platforms. De specifieke CPU-architecturen die kunnen worden beïnvloed door het botnet zijn x86 (32/64), ARM (32/64), MIPS (MIPS32 / MIPS-III) en PPC.

Het HEH Botnet kan apparaten kapot maken

Er zijn aanwijzingen dat het botnet nog in de kinderschoenen staat en mogelijk nog in ontwikkeling is. Het HEH Botnet heeft bijvoorbeeld niet de mogelijkheid om aanvallende acties uit te voeren die gewoonlijk met botnets worden geassocieerd, zoals het uitvoeren van DDoS-aanvallen, het inzetten van cryptomining-malware, het uitvoeren van proxy's en het overdragen van verkeer voor de hackers. Dat betekent echter niet dat HEH onschadelijk is. Als gevolg van een slechte configuratie of een mogelijk bedoelde functionaliteit kan het HEH Botnet zelfs de opdracht krijgen om een reeks Shell-bewerkingen uit te voeren, wat resulteert in een totale verwijdering van alle partities die op het geïnfecteerde apparaat worden aangetroffen. Dit zal hoogstwaarschijnlijk het apparaat kapot maken, omdat het wissen van de partities ook de firmware zal verwijderen en de gemiddelde gebruiker misschien niet technisch onderlegd genoeg is om het opnieuw te installeren.

Hoewel de wiper-functionaliteit inderdaad eng is, is dit niet het hoofddoel van het botnet. Voorlopig dwingt HEH de gecompromitteerde apparaten om zich aan te sluiten bij de brute-force aanvallen op Telnet-poorten om het kwaadaardige botnet voornamelijk verder te verspreiden. De aanvallers achter HEH kunnen het ook gebruiken om willekeurige shell-opdrachten uit te voeren.

Het HEH Botnet is lang niet de eerste die wiper-mogelijkheden vertoont. Die twijfelachtige eer behoort toe aan de BrickerBot- en Silex- botnets.