มัลแวร์ RapperBot
นักวิจัยของ Infosec ระบุมัลแวร์ IoT (Internet of Things) ที่เป็นอันตราย ซึ่งถูกติดตามว่าเป็น RapperBot การวิเคราะห์ภัยคุกคามเปิดเผยว่าผู้สร้างได้ใช้ซอร์สโค้ดของ Mirai Botnet ที่น่าอับอายอย่างหนัก ภัยคุกคาม Mirai ถูกใช้ในการโจมตีที่มีรายละเอียดสูงหลายครั้งก่อนที่ซอร์สโค้ดจะรั่วไหลสู่สาธารณะในเดือนตุลาคม 2559 ตั้งแต่นั้นมานักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ระบุบ็อตเน็ตและมัลแวร์มากกว่า 60 ชนิดที่ใช้ Mirai เป็นพื้นฐาน อย่างไรก็ตาม เมื่อพูดถึง RapperBot ภัยคุกคามจะแสดงความแตกต่างที่สำคัญหลายประการจากพฤติกรรมทั่วไปของ Mirai
รายละเอียดเกี่ยวกับ RapperBot ได้รับการเผยแพร่ในรายงานโดยนักวิจัยด้านความปลอดภัยเมื่อเร็ว ๆ นี้ จากการค้นพบของพวกเขา ภัยคุกคามดังกล่าวเริ่มมีผลตั้งแต่เดือนมิถุนายน พ.ศ. 2565 และกำลังอยู่ในระหว่างการพัฒนาอย่างรวดเร็ว ภัยคุกคามจากบ็อตเน็ตใช้กลอุบายแบบดุร้ายเพื่อตั้งหลักบนเซิร์ฟเวอร์ Linux SSH ซึ่งแตกต่างจากการใช้งาน Mirai ทั่วไปในการกำหนดเป้าหมายเซิร์ฟเวอร์ Telnet
ตามรายงาน RapperBot กำลังเติบโตอย่างรวดเร็วเซิร์ฟเวอร์ SSH ที่เป็นทาสของตนด้วยที่อยู่ IP ที่ไม่ซ้ำกันมากกว่า 3,500 แห่งสแกนอินเทอร์เน็ตและบังคับสัตว์เดรัจฉานหาเหยื่อรายใหม่ RapperBot ดูเหมือนจะทิ้งเทคนิคการขยายพันธุ์ตัวเองแบบ Mira ไว้เบื้องหลังเพื่อสนับสนุนวิธีการที่ใช้การคงอยู่มากขึ้น เป็นผลให้ภัยคุกคามสามารถยังคงอยู่ในระบบที่ติดไวรัสแม้หลังจากรีบูตหรือพยายามลบโดยผู้ที่ตกเป็นเหยื่อ
การเข้าถึงเซิร์ฟเวอร์ที่ถูกละเมิดทำได้โดยการเพิ่มคีย์สาธารณะ SSH ของผู้ให้บริการ คีย์ถูกฉีดเข้าไปในไฟล์เฉพาะที่เรียกว่า '~/.ssh/authorized_keys' หลังจากนั้น ผู้คุกคามจะสามารถเชื่อมต่อกับเซิร์ฟเวอร์ได้อย่างอิสระและรับรองความถูกต้องโดยใช้คีย์ส่วนตัวที่เกี่ยวข้องโดยไม่ต้องระบุรหัสผ่าน เทคนิคนี้จะรักษาการเข้าถึงเซิร์ฟเวอร์แม้ว่าข้อมูลประจำตัว SSH จะได้รับการอัปเดตหรือปิดใช้งานการตรวจสอบรหัสผ่าน SSH นอกจากนี้ โดยการแทนที่ไฟล์ที่ถูกต้อง อาชญากรไซเบอร์ได้ลบคีย์ที่ได้รับอนุญาตที่มีอยู่ทั้งหมดในปัจจุบัน ป้องกันไม่ให้ผู้ใช้ที่ถูกกฎหมายเข้าถึงเซิร์ฟเวอร์ SSH ที่ถูกบุกรุกได้สำเร็จผ่านการตรวจสอบความถูกต้องของคีย์สาธารณะ
เป้าหมายของผู้ดำเนินการมัลแวร์ RapperBot ยังคงคลุมเครือ ตัวอย่างเช่น ผู้คุกคามจะลบความสามารถ DDoS (Distributed Denial-of-Service) ของภัยคุกคามออกไปโดยสิ้นเชิง เพียงเพื่อแนะนำให้รู้จักอีกครั้งในรูปแบบที่จำกัด
