Einen Monat nach der Entdeckung einer neuen Variante von Mirai, der Trend Micro Ich habe eine andere Probe gefunden. Wie in früheren Varianten können Angreifer Fernzugriff und Kontrolle über exponierte Ports und Standardanmeldeinformationen auf IoT-Geräten erhalten. Beispielsweise können Angreifer infizierte Geräte für DDoS-Angriffe (Distributed Denial of Service) mithilfe verschiedener Methoden (z. B. Flooding) verwenden. UDP) .4
Mirai ist eine der bekanntesten Malware-Familien im Internet der Dinge (IoT). Dieses berühmte Botnetz wurde 2016 entdeckt. Dieses Beispiel unterscheidet sich von anderen Varianten, da Cyberkriminelle aus Gründen der Anonymität den Command and Control Server (C & C) im Tor-Netzwerk verwendet haben. Dies könnte ein Trend sein, der sich unter IoT-Malware-Entwicklern als C & C-Server weiterentwickelt.
Wie der neue Angriff funktioniert
Trend Micro weist darauf hin, dass in anderen herkömmlichen Mirai-Beispielen ein bis vier C & C-Server vorhanden sind, das Beispiel jedoch 30 codierte Adressen enthält. Während der Untersuchung der Kommunikation zwischen dem Gerät und den Servern in einer geschlossenen Sandbox-Umgebung sendete das Beispiel eine bestimmte Sequenz “05 01 00”, eine erste Begrüßungsnachricht für das socks5-Protokoll. Die Forscher schickten dann die Nachricht an die Server und erhielten von den meisten Adressen die “05 00” -Socken5, um zu bestätigen, dass sie Proxys für die Tor-Socken waren. Dies wurde auch mit einem Shodan-Check als Ergebnis von überprüft. Die Suche zeigte die aktiven Socken-Proxys auf den Servern
Bei der Analyse des von der Stichprobe verwendeten Kommunikationsprotokolls stellten die Forscher fest, dass es mit Ausnahme der Verwendung der Sockenverbindung5 den Protokollen der vorherigen Mirai-Varianten ähnlich war. Es wurde auch eine Byte-Sequenz identifiziert, die einen DDoS-Befehl anzeigt, der vom C & C-Server durch einen UDP-Flood-Angriff an eine bestimmte IP-Adresse gesendet wurde.
Auf der Suche nach Beispielen und ähnlichen Informationen zum Vergleichen haben andere Open Source-Programme wie VirusTotal denselben Hashwert aus derselben Quell-URL generiert. Es war ein offenes Verzeichnis mit anderen Beispielen aus anderen Architekturen. Andere Details im Bericht zeigten auch einen zweiten Verteilungsserver.
Trend Micro-Forscher finden dieses Beispiel interessant, weil die Angreifer beschlossen haben, den C & C-Server auf Tor zu stellen. Es ist wahrscheinlich, dass Sie die Verfolgung Ihrer IP-Adresse ignorieren und verhindern, dass sie deaktiviert wird, wenn Domäneneinträge informiert werden. Die Technik ähnelt der 2017 gemeldeten BrickerBot-Malware, einer Variante von Tor, die ähnliche Techniken wie Mirai verwendet. BrickerBot war jedoch einer der ersten Fälle von permanentem Denial-of-Service (PDoS), der ironischerweise versuchte, Mirai daran zu hindern, IoT-Geräte zu infizieren, und kurz nach der Beschädigung von mehr als 10 Millionen Geräten gestoppt wurde.
Während frühere Berichte andere Malware gemeldet haben, die das C & C in Tor verbirgt, glauben Forscher, dass dies ein möglicher Präzedenzfall für andere sich entwickelnde Familien von IoT-Malware ist. Aufgrund der Tor-Umgebung bleibt der Server anonym, sodass der Ersteller der Malware und / oder der Eigentümer von C & C nicht identifiziert werden kann. Dies bedeutet, dass der Server auch dann weiter funktioniert, wenn er erkannt wird. Der Netzwerkverkehr kann sich als legitim tarnen und verschlüsselt bleiben. Aufgrund anderer möglicher legitimer Verwendungen von Tor wird es nicht auf die schwarze Liste gesetzt.
Das Vorhandensein eines anderen Verteilungsservers und anderer Beispiele für unterschiedliche Gerätearchitekturen kann darauf hinweisen, dass diese Cyberkriminellen versuchen, diesen Prozess in großem Umfang zu verwenden. Signaturerkennungssysteme und verhaltensbasierte Mechanismen können diese Malware-Angriffe jedoch erkennen und blockieren.
Wie ist Vorsicht geboten?
Benutzer und Unternehmen werden aufgefordert, ihre Netzwerksysteme und Geräte mit den neuesten Patches zu aktualisieren, die Standardanmeldeinformationen für komplexe Kennwörter zu ändern und verschiedene Identifikationssysteme zu verwenden, um unbefugten Zugriff zu verhindern. Vermeiden Sie die Verbindung zu ungesicherten Netzwerken außerhalb des vertrauenswürdigen Bereichs, um das Risiko eines Eindringens durch offene und öffentlich zugängliche Netzwerke zu begrenzen.
Du musst es auch lesen!
Alarm! Die neue Android-Ransomware verbreitet sich per SMS
Eine WhatsApp-Sicherheitsanfälligkeit kann den Inhalt der Nachricht ändern
