Útoky botnetu GoBruteforcer

Obnovená vlna aktivít GoBruteforceru aktívne útočí na databázy spojené s projektmi kryptomien a blockchainu. Útočníci začleňujú zraniteľné servery do distribuovanej botnetu schopného vykonávať rozsiahle útoky hrubou silou proti bežným službám vrátane FTP, MySQL, PostgreSQL a phpMyAdmin na systémoch Linux.

Táto kampaň nie je nediskriminujúca. Dôkazy ukazujú jasné zameranie na infraštruktúru viazanú na blockchainové ekosystémy, čo odráža finančnú motiváciu aj množstvo slabo zabezpečených vývojových prostredí v tomto sektore.

Prečo táto kampaň naberá na obrátkach

Súčasný nárast poháňajú dva zbiehajúce sa trendy. Po prvé, administrátori čoraz častejšie opakovane používajú príručky nasadenia a príklady serverov generované umelou inteligenciou, z ktorých mnohé replikujú rovnaké slabé predvolené používateľské mená a prihlasovacie údaje, aké sa nachádzajú v online návodoch a dokumentácii. Po druhé, staršie webové balíky, najmä inštalácie XAMPP, sa naďalej nasadzujú s exponovanými FTP službami a administrátorskými rozhraniami, ktorým chýba dostatočné zabezpečenie.

Tieto podmienky spolu poskytujú útočníkom predvídateľný a úrodný povrch pre útok.

Od pôvodu z roku 2023 k nebezpečnejšiemu variantu z roku 2025

GoBruteforcer, tiež známy ako GoBrut, bol prvýkrát zdokumentovaný v marci 2023. Skorší výskum opisoval rodinu malvéru založenú na Golangu, ktorá bola navrhnutá pre unixové systémy s architektúrami x86, x64 a ARM. Nasadil IRC bota pre ovládanie a kontrolu, nainštaloval webový shell pre trvalý vzdialený prístup a získal modul hrubej sily na skenovanie ďalších zraniteľných hostiteľov.

Do septembra 2025 výskumníci zistili, že časti botnetu fungovali spoločne s iným kmeňom malvéru, SystemBC, čo naznačuje zdieľanú infraštruktúru alebo koordinovanú kontrolu.

Polovica roka 2025 znamenala významný technický skok. Analytici identifikovali pokročilejší variant s výrazne obfuskovaným IRC botom prepísaným v jazyku Golang, vylepšenými mechanizmami perzistencie, možnosťami maskovania procesov a dynamicky spravovanými zoznamami poverení, ktoré bolo možné aktualizovať na požiadanie.

Stratégia poverení formovaná umelou inteligenciou a návykmi vývojárov

Komponenta malvéru, ktorá sa zaoberá hrubou silou, sa spolieha na vybrané kombinácie bežných používateľských mien a hesiel, ako napríklad „myuser:Abcd@123“ alebo „appeaser:admin123456“. Nejde o náhodné výbery. Mnohé pochádzajú z tutoriálov k databázam, dokumentácie k hostingu a príkladov od dodávateľov – materiálov, ktoré boli široko začlenené do rozsiahlych korpusov trénovania jazykových modelov. V dôsledku toho nástroje umelej inteligencie často reprodukujú rovnaké predvolené hodnoty v generovaných úryvkoch konfigurácie, čím neúmyselne štandardizujú slabé poverenia naprieč nasadeniami.

Ďalšie používateľské mená v rotácii odkazujú na pracovné postupy kryptomien (ako napríklad „cryptouser“, „appcrypto“, „crypto_app“ a „crypto“) alebo sa špecificky zameriavajú na prostredia phpMyAdmin, vrátane „root“, „wordpress“ a „wpuser“.

Útočníci si pre každú kampaň udržiavajú relatívne malý a stabilný fond hesiel, pričom z tejto základne obnovujú zoznamy pre jednotlivé úlohy a zároveň niekoľkokrát týždenne rotujú používateľské mená a pridávajú nové heslá. Útoky na FTP sa riešia odlišne: binárny súbor Bruteforcer obsahuje pevne zakódovanú sadu prihlasovacích údajov, ktorá sa presne zhoduje s predvolenými balíkmi webhostingu a servisnými účtami.

Reťazec infekcie a možnosti botnetu

Pozorované útoky najčastejšie začínajú s FTP službou vystavenou internetu na serveri XAMPP. Po získaní prístupu útočníci nahrajú webový shell PHP. Tento shell sa potom použije na načítanie a spustenie aktualizovaného IRC bota prostredníctvom shellového skriptu prispôsobeného architektúre hostiteľa.

Po napadnutí je možné infikovaný systém opätovne použiť niekoľkými spôsobmi:

• Spúšťa moduly hrubej sily na pokusy o prihlásenie do služieb FTP, MySQL, PostgreSQL a phpMyAdmin na internete.
• Hostuje a distribuuje škodlivé dáta do novo napadnutých počítačov.
• Poskytuje koncové body velenia a riadenia v štýle IRC alebo funguje ako záložný server C2 na zlepšenie odolnosti botnetov.

Priamy dôkaz operácií zameraných na blockchain

Ďalšie vyšetrovanie odhalilo, že najmenej jeden napadnutý server nainštaloval špecializovaný modul určený na prechádzanie zoznamom blockchainových adries TRON. Pomocou verejnej služby tronscanapi.com malvér vyhľadával zostatky na účtoch, aby identifikoval peňaženky s nenulovými finančnými prostriedkami. Táto schopnosť silne naznačuje úmyselný prieskum zameraný na blockchainové projekty a infraštruktúru súvisiacu s kryptomenami, a nie len oportunistické skenovanie.

Neustále ponaučenie pre obrancov

GoBruteforcer ilustruje širšie, pretrvávajúce zlyhanie bezpečnosti: nebezpečnú kombináciu exponovaných služieb, slabých alebo recyklovaných prihlasovacích údajov a čoraz automatizovanejších nástrojov na útoky. Hoci samotný botnet nie je technicky prelomový, jeho prevádzkovatelia enormne profitujú z obrovského množstva nesprávne nakonfigurovaných serverov, ktoré sú stále dostupné na verejnom internete.

Pre obhajcov táto kampaň zdôrazňuje známe, ale kľúčové posolstvo: zrušte predvolené prihlasovacie údaje, obmedzte administratívne rozhrania, vyraďte staršie balíky a považujte príklady nasadenia generované umelou inteligenciou za nedôveryhodné východiskové body, a nie za konfigurácie pripravené na produkciu.