Masjesu Botnet

Siber güvenlik analistleri, özellikle dağıtılmış hizmet reddi saldırıları için tasarlanmış son derece gizli bir botnet'i ortaya çıkardı. Masjesu olarak bilinen bu operasyon, 2023'ten beri ağırlıklı olarak Telegram kanalları aracılığıyla tanıtılan bir DDoS kiralama hizmeti olarak faaliyet gösteriyor.

Kitlesel enfeksiyonlar yerine, botnet ölçülü ve hesaplı bir yaklaşım benimser. Tasarımı, kalıcılık ve gizliliğe odaklanarak, Savunma Bakanlığı ile ilişkili ağlar gibi yüksek profilli hedeflerden kasıtlı olarak kaçınır. Bu strateji, tespit edilme ve etkisiz hale getirilme olasılığını önemli ölçüde azaltarak operasyonun zaman içinde devam etmesini sağlar.

Çift Kimlik ve Şifreli İşlemler

Masjesu, XOR tabanlı şifreleme tekniklerini kullanmasından dolayı XorBot olarak da anılır. Bu yöntemler, anlaşılması güç dizelere, yapılandırma verilerine ve zararlı yazılımlara uygulanarak analiz ve tespit çalışmalarını zorlaştırır.

Botnet ilk olarak Aralık 2023'te belgelendi ve 'synmaestro' olarak bilinen bir operatörle ilişkilendirildi. İlk ortaya çıkışından itibaren, ele geçirilen sistemlerin uzaktan verimli bir şekilde kontrol edilmesini sağlarken düşük görünürlüğü korumaya odaklandığı açıkça görüldü.

Cephaneliğin ve İstismar Yeteneklerinin Genişletilmesi

Yaklaşık bir yıl sonra gözlemlenen botnet'in daha yeni bir sürümü, önemli geliştirmeler içeriyordu. Bu sürüm, yönlendiriciler, kameralar, DVR'lar ve NVR'lar da dahil olmak üzere çok çeşitli Nesnelerin İnterneti cihazlarını hedef alan çoklu komut enjeksiyonu ve uzaktan kod yürütme güvenlik açıklarını bünyesinde barındırıyordu ve bu cihazlar birçok büyük üreticiye aitti.

Bu güncellemeler ayrıca yüksek hacimli DDoS saldırıları gerçekleştirmek için özel modüller de içererek, ticari bir saldırı hizmeti olarak rolünü güçlendirdi.

Başlıca yetenekler şunlardır:

• Çeşitli IoT donanım mimarilerindeki güvenlik açıklarının istismarı
• İlk erişim için 12 farklı saldırı vektörünün entegrasyonu
• Hacimsel DDoS saldırıları için özel modüllerin devreye alınması

Enfeksiyon İş Akışı ve Kalıcılık Mekanizmaları

Bir cihaz ele geçirildikten sonra, kötü amaçlı yazılım kontrolü sağlamak ve müdahaleyi önlemek için tasarlanmış yapılandırılmış bir yürütme zinciri başlatır. Sabit kodlanmış bir TCP portuna (55988) bağlı bir soket oluşturarak saldırganla doğrudan iletişim kurulmasını sağlar. Bu adım başarısız olursa, enfeksiyon süreci hemen sona erer.

Başarılı olursa, kötü amaçlı yazılım kalıcılık teknikleriyle devam eder, sonlandırma sinyallerini bastırır ve wget ve curl gibi yaygın yardımcı programları devre dışı bırakarak muhtemelen rakip kötü amaçlı yazılımları ortadan kaldırır. Ardından, talimatlar almak ve belirlenmiş hedeflere karşı saldırılar başlatmak için harici bir komuta ve kontrol sunucusuna bağlanır.

Kendiliğinden Yayılma ve Stratejik Hedefleme

Masjesu, savunmasız sistemleri tespit etmek için rastgele IP adreslerini tarayabilen kendi kendini yayma özelliğine sahiptir. Tespit edildikten sonra, bu cihazlar botnet'in altyapısına entegre edilerek operasyonel kapasitesi genişletilir.

Dikkat çekici bir taktik, Realtek SDK'nın miniigd hizmetiyle ilişkili 52869 numaralı bağlantı noktasını taramayı içeriyor; bu yöntem daha önce JenX ve Satori gibi diğer botnetler tarafından da kullanılmıştı.

Saldırı trafiğinin coğrafi dağılımı şu bölgelerde yoğunlaşmayı göstermektedir:

• Vietnam (gözlemlenen faaliyetin yaklaşık %50'si)
• Ukrayna, İran, Brezilya, Kenya ve Hindistan

Saldırgan bir şekilde yayılmasına rağmen, botnet kritik veya hassas kuruluşları hedef almaktan kaçınıyor. Bu bilinçli kısıtlama, yasal riskleri azaltıyor ve uzun vadeli hayatta kalma olasılığını artırıyor.

Ticari Hale Getirme ve Büyüme Stratejisi

Masjesu, yapılandırılmış bir siber suç hizmeti olarak gelişmeye devam ediyor. Operatörleri, Telegram aracılığıyla yeteneklerini aktif olarak tanıtarak, onu içerik dağıtım ağlarını, oyun altyapısını ve kurumsal sistemleri hedeflemek için ölçeklenebilir bir çözüm olarak konumlandırıyor.

İşe alım ve reklamcılık için sosyal medya platformlarına olan bu bağımlılık etkili olduğunu kanıtlamış, istikrarlı bir büyüme sağlamış ve teknik uzmanlığa ihtiyaç duymadan DDoS saldırıları başlatmakla ilgilenen bir müşteri tabanını çekmiştir.

Giderek Büyüyen ve Kalıcı Bir Siber Tehdit

Yeni ortaya çıkan bir botnet ailesi olan Masjesu, hem teknik gelişmişlik hem de operasyonel genişleme açısından güçlü bir ivme sergiliyor. Gizlilik, hedefli istismar ve ticari erişilebilirlik özelliklerinin birleşimi, onu modern siber güvenlik ortamında dikkate değer bir tehdit haline getiriyor.

Görünürlükten ziyade kalıcılığa öncelik vererek ve gelişen saldırı tekniklerinden yararlanarak, botnet, kesinti riskini en aza indirirken dünya çapındaki IoT ortamlarına sızmaya ve bunları kontrol etmeye devam ediyor.