Botnet-ul Masjesu

Analiștii în domeniul securității cibernetice au descoperit o rețea de bot-uri extrem de secretă, concepută special pentru atacuri distribuite de tip denial-of-service. Cunoscută sub numele de Masjesu, această operațiune circulă din 2023 ca un serviciu DDoS contra cost, promovat în principal prin canalele Telegram.

În loc să urmărească infecții în masă, botnet-ul adoptă o abordare reținută și calculată. Designul său pune accent pe persistență și discreție, evitând în mod deliberat țintele de profil înalt, cum ar fi rețelele asociate cu Departamentul Apărării. Această strategie reduce semnificativ probabilitatea de detectare și eliminare, permițând operațiunii să dureze în timp.

Identitate duală și operațiuni criptate

Masjesu este denumit și XorBot, nume derivat din utilizarea tehnicilor de criptare bazate pe XOR. Aceste metode sunt aplicate pentru a obscura șirurile de caractere, datele de configurare și sarcinile utile, complicând eforturile de analiză și detectare.

Botnet-ul a fost documentat pentru prima dată în decembrie 2023 și a fost asociat cu un operator cunoscut sub numele de „synmaestro”. Încă de la prima sa apariție, acesta a demonstrat o concentrare clară pe menținerea unei vizibilități reduse, permițând în același timp controlul eficient de la distanță al sistemelor compromise.

Extinderea arsenalului și a capacităților de exploatare

O versiune mai nouă a botnet-ului, observată aproximativ un an mai târziu, a introdus îmbunătățiri semnificative. Aceasta a încorporat multiple tipuri de injecție de comenzi și execuție de cod la distanță, care vizau o gamă largă de dispozitive Internet of Things, inclusiv routere, camere video, DVR-uri și NVR-uri de la mai mulți producători importanți.

Aceste actualizări au inclus și module dedicate pentru executarea de atacuri DDoS de tip flood de volum mare, consolidând rolul său ca serviciu comercial de atacuri.

Capacitățile cheie includ:

• Exploatarea vulnerabilităților în diverse arhitecturi hardware IoT
• Integrarea a 12 vectori de atac distincti pentru accesul inițial
• Implementarea de module specializate pentru operațiuni DDoS volumetrice

Fluxul de lucru al infecțiilor și mecanismele de persistență

Odată ce un dispozitiv este compromis, malware-ul inițiază un lanț de execuție structurat, conceput pentru a menține controlul și a preveni interferențele. Acesta stabilește un socket legat de un port TCP hardcoded (55988), permițând comunicarea directă cu atacatorul. Dacă acest pas eșuează, procesul de infectare se termină imediat.

Dacă are succes, malware-ul folosește tehnici de persistență, suprimând semnalele de terminare și dezactivând utilitare comune precum wget și curl, probabil pentru a elimina malware-ul concurent. Apoi se conectează la un server extern de comandă și control pentru a primi instrucțiuni și a lansa atacuri împotriva țintelor desemnate.

Autopropagare și direcționare strategică

Masjesu este echipat cu funcționalitate de auto-propagare, permițându-i să scaneze adrese IP aleatorii pentru sisteme vulnerabile. Odată identificate, aceste dispozitive sunt încorporate în infrastructura botnet-ului, extinzându-i capacitatea operațională.

O tactică notabilă implică scanarea portului 52869, asociat cu serviciul miniigd al SDK-ului Realtek, o metodă utilizată anterior de alte botnet-uri precum JenX și Satori.

Distribuția geografică a traficului de atac arată concentrarea în:

• Vietnam (aproximativ 50% din activitatea observată)
• Ucraina, Iran, Brazilia, Kenya și India

În ciuda expansiunii sale agresive, botnet-ul evită să vizeze organizațiile critice sau sensibile. Această restricție deliberată reduce expunerea legală și îmbunătățește supraviețuirea pe termen lung.

Strategia de comercializare și creștere

Masjesu continuă să evolueze ca un serviciu structurat de combatere a criminalității cibernetice. Operatorii săi promovează activ capabilitățile prin intermediul Telegram, poziționându-l ca o soluție scalabilă pentru direcționarea rețelelor de livrare de conținut, a infrastructurii de jocuri și a sistemelor enterprise.

Această dependență de platformele de socializare pentru recrutare și publicitate s-a dovedit eficientă, permițând o creștere constantă și atrăgând o bază de clienți interesați să lanseze atacuri DDoS fără expertiză tehnică.

O amenințare cibernetică în creștere și persistentă

Ca familie emergentă de botnet-uri, Masjesu demonstrează un impuls puternic atât în ceea ce privește sofisticarea tehnică, cât și expansiunea operațională. Combinația sa de ascundere, exploatare țintită și accesibilitate comercială o face o amenințare notabilă în peisajul modern al securității cibernetice.

Prin prioritizarea persistenței în detrimentul vizibilității și prin valorificarea tehnicilor de atac în continuă evoluție, botnet-ul continuă să se infiltreze și să controleze mediile IoT din întreaga lume, minimizând în același timp riscul de perturbări.