KashmirBlack Botnet
Os pesquisadores descobriram as atividades de um botnet altamente sofisticado que eles chamaram de KashmirBlack. A botnet tem alcance global e é responsável por milhões de ataques realizados todos os dias. Os hackers por trás das operações podem usar o botnet estabelecido para implantar cargas úteis cripto-mineiro nos dispositivos comprometidos, entregar grandes volumes de spam ou conduzir campanhas de desfiguração contra alvos específicos.
KashmirBlack está operacional desde pelo menos novembro de 2019 e até agora conseguiu escravizar centenas de milhares de computadores controlados por um único servidor de comando e controle (C&C, C2). O vetor de compromisso abusado pelos hackers para propagar seu botnet é através de uma vulnerabilidade PHPUnit RCE que é encontrada em programas populares de sistema de gerenciamento de conteúdo (CMS). Embora a vulnerabilidade tenha quase uma década, ela pode afetar milhões de usuários potencialmente devido às empresas serem forçadas a desenvolver ambientes online para seus funcionários como resultado da pandemia COVID-19 às pressas.
A vulnerabilidade do gateway pode ser antiga, mas as outras características do KashmirBlack estão definitivamente à frente da curva. Os hackers têm usado técnicas de DevOps para estabelecer uma infraestrutura sofisticada e, ao mesmo tempo, extremamente flexível. Isso permite que o KashmirBlack seja equipado com novos recursos, cargas de malware e vulnerabilidades para explorar rapidamente. A flexibilidade adicional significa que os criminosos podem modificar a infraestrutura C&C do botnet facilmente e podem transferir seus repositórios de código corrompido de um serviço para outro rapidamente. Tal movimento já foi observado quando KashmirBlack mudou do GitHub para o Dropbox em uma tentativa de ocultar melhor sua atividade.
Os criminosos por trás do botnet são, de fato, extremamente habilidosos e estão sempre atentos às ações de qualquer analista de infosec em potencial. Aparentemente, o KashmirBlack para os servidores honeypot configurados pelos pesquisadores de segurança cibernética foi bloqueado apenas três dias após o contato inicial.
Por enquanto, o grupo de hackers PhatomGhost é o culpado mais provável por trás do botnet KashmirBlack. Com sede na Indonésia, é conhecida por realizar campanhas de desfiguração.
