SBIDIOT Malware

Spridningen av IoT-enheter (Internet-of-Things) fortsätter att uppvisa snabb tillväxt inom industrisektorn, särskilt. Som sådan har cyberbrottslingar hittat en bred ny pool av potentiella mål för infektion med skadlig kod. Ett av de senaste hot som utformats för att bryta mot IoT-enheter specifikt kallas SBIDIOT Malware.

Som med de flesta IoT-hot är huvudmålet för SBIDIOT Malware att integrera alla infekterade enheter i ett botnet. Även om beräkningsförmågan hos botnät kan användas på flera olika sätt är den mest framträdande att starta DDoS-attacker mot specifika mål. DDOS står för Distribuerad Denial of Service - enheterna i botnet börjar generera överdriven belastning på servern som hackarna valt, vilket kommer att hindra användare från att komma åt dess tjänster. En metod som SBIDIOT Malware har observerats använda för spridning är att utnyttja en RCE-sårbarhet (Remote Code Execution) i ZTE-routrar.

SBIDIOT Malware-funktionalitet

Analys av hotkoden utförd av infosec-forskarna avslöjade att SBIDIOT Malware kan utföra totalt 16 kommandon som tas emot från Command-and-Control (C2, C&C) -servern och matchas mot en lista med strängar. C2: s IP-adress och port är hårdkodade i binären för SBIDIOT. Hela listan är: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stopp, stopp.

Inte överraskande är nästan alla de åtgärder som utförs av hotet relaterade till att starta DDoS-attacker genom olika metoder och nödvändiga argument. Till exempel definieras HTTPSTOMP-kommandot via en HTTP-metod, kombination av värd / port, attackens varaktighet och ett antal som anger hur många gånger operationerna ska upprepas. HEX-, STD-, R6-, NFO-, FN-, OVHKILL-, NFOKILL- och UDPH-kommandon anropar alla samma funktion som behöver ett värdnamn, en port och en begränsning av attackens varaktighet. Det börjar sedan generera UDP-trafik med en fast nyttolast.

De viktigaste undantagen är kommandona STOPP, stopp och stopp. När de initieras skickar de en SIGKILL-signal till alla process-ID som spåras just nu. Detta gör att hotaktören kan avsluta den valda processen omedelbart.