SBIDIOT Malware

De proliferatie van IoT-apparaten (Internet-of-Things) blijft met name in de industriële sector snel groeien. Als zodanig hebben cybercriminelen een brede nieuwe pool van potentiële doelwitten voor malware-infectie gevonden. Een van de nieuwste bedreigingen die is ontworpen om specifiek IoT-apparaten te schenden, wordt SBIDIOT Malware genoemd.

Zoals bij de meeste IoT-bedreigingen, is het belangrijkste doel van de SBIDIOT Malware om alle geïnfecteerde apparaten in een botnet op te nemen. Hoewel de rekenkracht van botnets op verschillende manieren kan worden gebruikt, is de meest prominente het starten van DDoS-aanvallen op specifieke doelen. DDOS staat voor Distributed Denial of Service - de apparaten in het botnet beginnen overmatige belasting te genereren op de server die door de hackers is gekozen, waardoor gebruikers geen toegang hebben tot de services. Een methode die SBIDIOT Malware gebruikt voor proliferatie, is het misbruiken van een RCE-kwetsbaarheid (Remote Code Execution) in ZTE-routers.

SBIDIOT Malware-functionaliteit

Analyse van de code van de bedreiging uitgevoerd door de infosec-onderzoekers onthulde dat de SBIDIOT Malware in totaal 16 commando's kan uitvoeren die zijn ontvangen van de Command-and-Control-server (C2, C&C) en vergeleken met een lijst met strings. Het IP-adres en de poort van de C2 zijn hard gecodeerd in het binaire bestand van SBIDIOT. De volledige lijst is: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop, stop.

Het is niet verrassend dat bijna alle acties die door de dreiging worden uitgevoerd, verband houden met het lanceren van DDoS-aanvallen via verschillende methoden en vereiste argumenten. Het HTTPSTOMP-commando wordt bijvoorbeeld gedefinieerd via een HTTP-methode, host / poort-combinatie, duur van de aanval en een telling die aangeeft hoe vaak de bewerkingen zullen worden herhaald. De HEX-, STD-, R6-, NFO-, FN-, OVHKILL-, NFOKILL- en UDPH-opdrachten roepen allemaal dezelfde functie aan die een hostnaam, een poort en een limiet voor de aanvalsduur nodig heeft. Het zal dan beginnen met het genereren van UDP-verkeer met een vaste payload.

De belangrijkste uitzonderingen zijn de STOP-, stop- en Stop-opdrachten. Wanneer ze worden gestart, sturen ze een SIGKILL-signaal naar alle proces-ID's die op dit moment worden gevolgd. Hierdoor kan de dreigingsactor het gekozen proces onmiddellijk beëindigen.