SBIDIOT Malware
A proliferação de dispositivos IoT (Internet-of-Things) continua a apresentar um rápido crescimento no setor industrial, especialmente. Como tal, os cibercriminosos encontraram um novo conjunto de alvos em potencial para infecção por malware. Uma das ameaças mais recentes projetadas para violar dispositivos IoT especificamente é chamada de Malware SBIDIOT.
Como acontece com a maioria das ameaças de IoT, o objetivo principal do Malware SBIDIOT é incorporar todos os dispositivos infectados em um botnet. Embora o poder computacional dos botnets possa ser usado de várias maneiras diferentes, a mais proeminente é lançar ataques DDoS contra alvos específicos. DDOS significa Distributed Denial of Service - os dispositivos do botnet começam a gerar carga excessiva no servidor escolhido pelos hackers, o que impede que os usuários acessem seus serviços. Um método que foi observado como sendo usado pelo SBIDIOT Malware para proliferação é explorar uma vulnerabilidade RCE (Remote Code Execution) nos roteadores ZTE.
Funcionalidade do Malware SBIDIOT
A análise do código da ameaça realizada pelos pesquisadores de infosec revelou que o Malware SBIDIOT é capaz de executar um total de 16 comandos recebidos do servidor de Commando-e-Controle (C2, C&C) e comparados a uma lista de strings. O endereço de IP e a porta do C2 são codificados permanentemente no binário do SBIDIOT. A lista completa é: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop stop.
Não é de surpreender que quase todas as ações realizadas da ameaça estejam relacionadas ao lançamento de ataques de DDoS por meio de diferentes métodos e argumentos necessários. Por exemplo, o comando HTTPSTOMP é definido por meio de um método HTTP, combinação de host/porta, duração do ataque e uma contagem que especifica quantas vezes as operações serão repetidas. Os comandos HEX, STD, R6, NFO, FN, OVHKILL, NFOKILL e UDPH chamam a mesma função que precisa de um nome de host, uma porta e um limite na duração do ataque. Em seguida, ele começará a gerar tráfego UDP com uma carga fixa.
As principais exceções são os comandos STOP, stop e Stop. Quando iniciados, eles enviam um sinal SIGKILL para todos os IDs de processo que estão sendo rastreados no momento. Isso permite que o agente da ameaça encerre o processo escolhido imediatamente.
