Ботнет Масджесу

Аналитики в области кибербезопасности обнаружили крайне скрытую ботнет-сеть, специально разработанную для распределенных DDoS-атак. Эта сеть, известная как Masjesu, существует с 2023 года и предоставляет услуги DDoS-атак по заказу, в основном через каналы Telegram.

Вместо массового заражения ботнет использует сдержанный и продуманный подход. Его конструкция делает упор на устойчивость и скрытность, намеренно избегая таких важных целей, как сети, связанные с Министерством обороны. Эта стратегия значительно снижает вероятность обнаружения и ликвидации, позволяя операции продолжаться в течение длительного времени.

Двойная идентификация и зашифрованные операции

Masjesu также называют XorBot, это название происходит от использования методов шифрования на основе операции XOR. Эти методы применяются к неясным строкам, данным конфигурации и полезным нагрузкам, что усложняет анализ и обнаружение.

Ботнет был впервые задокументирован в декабре 2023 года и связан с оператором, известным как «synmaestro». С самого начала своего появления он демонстрировал явную направленность на сохранение низкой заметности, обеспечивая при этом эффективное удаленное управление скомпрометированными системами.

Расширение арсенала и возможностей по освоению ресурсов.

В более новой версии ботнета, обнаруженной примерно год спустя, были внесены значительные улучшения. Она включала в себя множество уязвимостей, связанных с внедрением команд и удаленным выполнением кода, нацеленных на широкий спектр устройств Интернета вещей, включая маршрутизаторы, камеры, видеорегистраторы и сетевые видеорегистраторы от нескольких крупных производителей.

Эти обновления также включали в себя специализированные модули для выполнения массированных DDoS-атак, что укрепляет его роль как коммерческого сервиса для проведения атак.

Ключевые возможности включают в себя:

• Эксплуатация уязвимостей в различных архитектурах оборудования Интернета вещей
• Интеграция 12 различных векторов атаки для первоначального доступа
• Развертывание специализированных модулей для объемных DDoS-атак.

Процесс инфицирования и механизмы сохранения инфекции

После взлома устройства вредоносная программа запускает структурированную цепочку выполнения, предназначенную для поддержания контроля и предотвращения вмешательства. Она устанавливает сокет, привязанный к жестко заданному TCP-порту (55988), что позволяет напрямую общаться со злоумышленником. Если этот шаг не удается, процесс заражения немедленно завершается.

В случае успеха вредоносная программа применяет методы обеспечения постоянного присутствия, подавляя сигналы завершения и отключая распространенные утилиты, такие как wget и curl, вероятно, для устранения конкурирующих вредоносных программ. Затем она подключается к внешнему серверу управления и контроля для получения инструкций и запуска атак против указанных целей.

Самораспространение и стратегическое таргетирование

Masjesu оснащен функцией самораспространения, позволяющей сканировать случайные IP-адреса на наличие уязвимых систем. После обнаружения эти устройства интегрируются в инфраструктуру ботнета, расширяя его оперативные возможности.

Одна из примечательных тактик заключается в сканировании порта 52869, связанного со службой miniigd из Realtek SDK, — метод, ранее использовавшийся другими ботнетами, такими как JenX и Satori.

Географическое распределение трафика атак показывает концентрацию в:

• Вьетнам (приблизительно 50% от наблюдаемой активности)
• Украина, Иран, Бразилия, Кения и Индия

Несмотря на агрессивное расширение, ботнет избегает атак на критически важные или конфиденциальные организации. Такая преднамеренная сдержанность снижает юридические риски и повышает долгосрочную выживаемость.

Стратегия коммерциализации и роста

Masjesu продолжает развиваться как структурированная служба киберпреступности. Ее операторы активно продвигают свои возможности через Telegram, позиционируя ее как масштабируемое решение для атак на сети доставки контента, игровую инфраструктуру и корпоративные системы.

Использование социальных сетей для набора персонала и рекламы оказалось эффективным, обеспечив стабильный рост и привлечение клиентской базы, заинтересованной в проведении DDoS-атак без технических знаний.

Растущая и устойчивая киберугроза

Как новое семейство ботнетов, Masjesu демонстрирует сильный рост как в плане технической сложности, так и в плане оперативного расширения. Сочетание скрытности, целенаправленной эксплуатации и коммерческой доступности делает его серьезной угрозой в современной сфере кибербезопасности.

Отдавая приоритет обеспечению устойчивости, а не видимости, и используя постоянно совершенствующиеся методы атак, ботнет продолжает проникать в системы Интернета вещей по всему миру и контролировать их, минимизируя при этом риск сбоев.