RapperBot skadlig programvara
Infosec-forskare har identifierat en farlig IoT (Internet of Things) skadlig kod, spårad som RapperBot. Analys av hotet har avslöjat att dess skapare har använt källkoden till det ökända Mirai Botnet kraftigt. Mirai-hotet användes i flera högprofilerade attacker innan dess källkod läckte ut till allmänheten i oktober 2016. Sedan dess har cybersäkerhetsforskare identifierat över 60 botnät- och malware-varianter med Mirai som grund. Men när det kommer till RapperBot visar hotet flera stora avvikelser från det typiska Mirai-beteendet.
Detaljer om RapperBot släpptes nyligen i en rapport från säkerhetsforskare. Enligt deras fynd har hotet varit aktivt sedan juni 2022 och är under snabb utveckling. Botnäthotet använder brute-force-taktik för att få fotfäste på Linux SSH-servrar, till skillnad från den mer typiska Mirai-implementeringen av inriktning på Telnet-servrar.
Enligt rapporten växer RapperBot snabbt sina förslavade SSH-servrar med över 3 500 unika IP-adresser som skannar Internet och tvingar sig in i nya offer. RapperBot verkar också ha lämnat bakom sig sina Mira-liknande självförökningstekniker till förmån för mer uthållighetsbaserade metoder. Som ett resultat kan hotet finnas kvar på det infekterade systemet även efter en omstart eller ett försök till borttagning av offren.
Åtkomst till de brutna servrarna uppnås genom tillägg av operatörernas publika SSH-nyckel. Nyckeln injiceras i en specifik fil som heter '~/.ssh/authorized_keys.' Efteråt kommer hotaktörerna att fritt kunna ansluta till servern och autentisera med endast motsvarande privata nyckel utan att behöva ange ett lösenord. Denna teknik kommer att bibehålla åtkomst till servern även om SSH-uppgifterna uppdateras eller SSH-lösenordsautentiseringen är inaktiverad. Dessutom, genom att ersätta den legitima filen, har cyberbrottslingarna tagit bort alla för närvarande befintliga auktoriserade nycklar, vilket förhindrar legitima användare från att framgångsrikt komma åt den komprometterade SSH-servern via autentisering med offentlig nyckel.
Målen för RapperBot Malwares operatörer är fortfarande oklara. Till exempel tar hotaktörerna bort DDoS-kapaciteten (Distributed Denial-of-Service) för hotet helt, bara för att återinföra det senare, i en begränsad form.
