Masjesu Botnet

Analitiki kibernetske varnosti so odkrili zelo prikrito botnet omrežje, zasnovano posebej za porazdeljene napade zavrnitve storitve. Ta operacija, znana kot Masjesu, kroži od leta 2023 kot storitev DDoS za najem, ki se promovira predvsem prek Telegramovih kanalov.

Namesto da bi se loteval množičnih okužb, botnet uporablja zadržan in premišljen pristop. Njegova zasnova poudarja vztrajnost in prikritost, pri čemer se namerno izogiba odkritim tarčam, kot so omrežja, povezana z Ministrstvom za obrambo. Ta strategija znatno zmanjša verjetnost odkritja in uničenja, kar omogoča, da operacija deluje dlje časa.

Dvojna identiteta in šifrirane operacije

Masjesu se imenuje tudi XorBot, ime, ki izhaja iz uporabe tehnik šifriranja na osnovi XOR. Te metode se uporabljajo za nejasne nize, konfiguracijske podatke in koristne tovore, kar otežuje analizo in odkrivanje.

Botnet je bil prvič dokumentiran decembra 2023 in povezan z operaterjem, znanim kot »synmaestro«. Že od samega začetka je jasno kazal poudarek na ohranjanju nizke vidnosti, hkrati pa omogočal učinkovito daljinsko upravljanje ogroženih sistemov.

Širitev arzenala in zmogljivosti izkoriščanja

Novejša različica botneta, opažena približno leto kasneje, je uvedla znatne izboljšave. Vključevala je več izkoriščanj za vbrizgavanje ukazov in oddaljeno izvajanje kode, usmerjenih v širok nabor naprav interneta stvari, vključno z usmerjevalniki, kamerami, DVR-ji in NVR-ji več večjih proizvajalcev.

Te posodobitve so vključevale tudi namenske module za izvajanje množičnih napadov DDoS, s čimer so okrepile njegovo vlogo kot komercialne storitve za napade.

Ključne zmogljivosti vključujejo:

• Izkoriščanje ranljivosti v različnih arhitekturah strojne opreme interneta stvari
• Integracija 12 različnih vektorjev napada za začetni dostop
• Uvedba specializiranih modulov za volumetrične DDoS operacije

Potek dela okužbe in mehanizmi vztrajnosti

Ko je naprava ogrožena, zlonamerna programska oprema sproži strukturirano izvršilno verigo, zasnovano za ohranjanje nadzora in preprečevanje motenj. Vzpostavi vtičnico, vezano na trdo kodirana vrata TCP (55988), kar omogoča neposredno komunikacijo z napadalcem. Če ta korak ne uspe, se proces okužbe takoj prekine.

Če je uspešna, zlonamerna programska oprema nadaljuje s tehnikami vztrajnosti, pri čemer zavira signale za zaključevanje in onemogoča običajne pripomočke, kot sta wget in curl, s čimer verjetno izloči konkurenčno zlonamerno programsko opremo. Nato se poveže z zunanjim strežnikom za upravljanje in nadzor, da prejme navodila in sproži napade na določene cilje.

Samorazširjanje in strateško ciljanje

Masjesu je opremljen s funkcijo samorazširjanja, ki mu omogoča skeniranje naključnih IP-naslovov za iskanje ranljivih sistemov. Ko so te naprave identificirane, se vključijo v infrastrukturo botneta, s čimer se razširi njegova operativna zmogljivost.

Pomembna taktika vključuje skeniranje vrat 52869, povezanih s storitvijo miniigd paketa Realtek SDK, kar je metoda, ki so jo prej uporabljali drugi botneti, kot sta JenX in Satori.

Geografska porazdelitev napadalnega prometa kaže koncentracijo v:

• Vietnam (približno 50 % opazovane aktivnosti)
• Ukrajina, Iran, Brazilija, Kenija in Indija

Kljub agresivnemu širjenju se botnet izogiba napadom na kritične ali občutljive organizacije. Ta namerna omejitev zmanjšuje pravno izpostavljenost in izboljšuje dolgoročno preživetje.

Strategija komercializacije in rasti

Masjesu se še naprej razvija kot strukturirana storitev za boj proti kibernetski kriminaliteti. Njeni operaterji aktivno promovirajo svoje zmogljivosti prek Telegrama in ga pozicionirajo kot prilagodljivo rešitev za ciljanje omrežij za dostavo vsebin, igralne infrastrukture in poslovnih sistemov.

Ta odvisnost od platform družbenih medijev za zaposlovanje in oglaševanje se je izkazala za učinkovito, saj omogoča stabilno rast in privablja bazo strank, ki jih zanima izvajanje napadov DDoS brez tehničnega znanja.

Naraščajoča in vztrajna kibernetska grožnja

Kot nova družina botnetov Masjesu kaže močan zagon tako v tehnični dovršenosti kot v operativni širitvi. Zaradi kombinacije prikritosti, ciljno usmerjenega izkoriščanja in komercialne dostopnosti predstavlja pomembno grožnjo v sodobni kibernetski varnostni krajini.

Z dajanjem prednosti vztrajnosti pred vidljivostjo in izkoriščanjem razvijajočih se tehnik napadov botnet še naprej infiltrira in nadzoruje okolja interneta stvari po vsem svetu, hkrati pa zmanjšuje tveganje motenj.