Phần mềm độc hại RapperBot
Các nhà nghiên cứu của Infosec đã xác định được một phần mềm độc hại IoT (Internet of Things) nguy hiểm, được theo dõi là RapperBot. Phân tích về mối đe dọa đã cho thấy rằng những người tạo ra nó đã sử dụng rất nhiều mã nguồn của Mirai Botnet khét tiếng. Mối đe dọa Mirai đã được sử dụng trong một số cuộc tấn công cấp cao trước khi mã nguồn của nó bị rò rỉ ra công chúng vào tháng 10 năm 2016. Kể từ đó, các nhà nghiên cứu an ninh mạng đã xác định được hơn 60 biến thể botnet và phần mềm độc hại sử dụng Mirai làm cơ sở. Tuy nhiên, khi nói đến RapperBot, mối đe dọa hiển thị một số điểm khác biệt chính từ hành vi Mirai điển hình.
Thông tin chi tiết về RapperBot đã được các nhà nghiên cứu bảo mật đưa ra trong một báo cáo gần đây. Theo phát hiện của họ, mối đe dọa đã hoạt động từ tháng 6 năm 2022 và đang trong quá trình phát triển nhanh chóng. Mối đe dọa botnet sử dụng các chiến thuật vũ phu để có được chỗ đứng trên các máy chủ SSH của Linux, không giống như việc triển khai Mirai điển hình hơn là nhắm mục tiêu vào các máy chủ Telnet.
Theo báo cáo, RapperBot đang nhanh chóng phát triển các máy chủ SSH nô lệ của mình với hơn 3.500 địa chỉ IP duy nhất quét Internet và bạo lực ép chúng trở thành nạn nhân mới. RapperBot dường như cũng bỏ lại phía sau các kỹ thuật tự nhân giống Mira của mình để ủng hộ các phương pháp dựa trên sự bền bỉ hơn. Do đó, mối đe dọa có thể vẫn còn trên hệ thống bị nhiễm ngay cả sau khi khởi động lại hoặc nạn nhân đã cố gắng xóa bỏ.
Quyền truy cập vào các máy chủ bị vi phạm được thực hiện thông qua việc bổ sung khóa công khai SSH của nhà khai thác. Khóa được đưa vào một tệp cụ thể có tên '~ / .ssh / allow_keys.' Sau đó, các tác nhân đe dọa sẽ có thể tự do kết nối với máy chủ và xác thực chỉ bằng cách sử dụng khóa riêng tương ứng mà không cần cung cấp mật khẩu. Kỹ thuật này sẽ duy trì quyền truy cập vào máy chủ ngay cả khi thông tin đăng nhập SSH được cập nhật hoặc xác thực mật khẩu SSH bị vô hiệu hóa. Ngoài ra, bằng cách thay thế tệp hợp pháp, tội phạm mạng đã xóa tất cả các khóa được ủy quyền hiện có, ngăn người dùng hợp pháp truy cập thành công máy chủ SSH bị xâm nhập thông qua xác thực khóa công khai.
Mục tiêu của các nhà điều hành RapperBot Malware vẫn là mơ hồ. Ví dụ: các tác nhân đe dọa loại bỏ hoàn toàn các khả năng DDoS (Từ chối dịch vụ phân tán) của mối đe dọa, chỉ để giới thiệu lại mối đe dọa sau, ở một hình thức hạn chế.
