Обнаружен необычный ботнет IoT-устройств, используемый для сокрытия трафика

Новости МирТесен

В течение нескольких месяцев эксперты в области информационной безопасности вели наблюдение за необычной сетью зараженных устройств, представляющей собой ботнет, который существенно выделялся на фоне всех ранее известных аналогов. Анализ показал, что его особенность заключается не только в составе скомпрометированных систем и языке программирования, использованном при создании исполняемых файлов, но и в предполагаемой функции – по всем признакам это представляет собой секретный анонимайзер, напоминающий TOR.

Около полугода назад были развернуты специальные серверы-приманки ( honeypot, «горшочек с медом» или «ханипот») компании Bitdefender зафиксировали возросшую активность весьма специфических атакующих программных роботов. От обычных «зловредов», превращающих компьютеры и сетевые устройства в звенья ботнета, они отличались языком программирования. Обычно подобные программы пишут на C, C++ или Pearl, но эти были сделаны на Go.

В дополнение к выявленной аномалии, специалистов заинтересовала неоднозначность цели, для которой была создана сеть, разработанная злоумышленниками. Обычно ботнеты используются в киберпреступной деятельности: для осуществления масштабных атак типа «отказ в обслуживании» ( DoS), либо для проведения сложных вычислительных операций, таких как добыча криптовалюты. Естественно, практически все подобные сети зараженных устройств выполняют функции самоподдержания — организацию взаимодействия между узлами, распространение вредоносного программного обеспечения и сбор информации для будущих атак, однако эти действия не являются их главной задачей.

Обнаруженный специалистами Bitdefender ботнет Interplanetary Stormпроявлял себя нестандартно, что послужило причиной его детального анализа. Захватывающий отчет о проделанной работе был опубликован в четверг, 15 октября, на официальном сайте компании. Исследователи пришли к выводу, что, судя по поведению сети, она представляет собой сложный и достаточно продвинутый распределенный сервис по обеспечению анонимности клиентов для удаленных интернет-ресурсов (анонимайзер).

И использование термина «клиент» весьма показательно — у ботнета выявлены все характеристики коммерческого продукта, предназначенного для продолжительной эксплуатации и обслуживания постоянной клиентской базы, оплачивающей подписки. В качестве приманки Bitdefender перехватили достаточное количество файлов Interplanetary Storm, чтобы обеспечить возможность изучения его структуры, особенностей атаки, выявить зараженные устройства (узлы) и даже определить серверы управления.

Эксперты в области кибербезопасности выявили комплексную систему обновления исполняемых файлов Interplanetery Storm и отслеживания их версий. Она позволяет совершенствовать функционал и улучшать производительность всего ботнета. Это один из факторов, показывающих, что сеть не просто растет, а находится в стадии активной разработки.

По предварительным оценкам, ботнет включает около девяти тысяч скомпрометированных устройств, среди которых преобладают системы, использующие операционные системы семейства Unix. Анализ косвенных данных позволил сделать вывод о том, что речь идет об устройствах интернета вещей ( IoT), сетевых дисковых накопителях, роутерах и маршрутизаторах, телевизионных приставках, а также микроконтроллерах (например, Raspberry Pi).

Атаки на потенциальных жертв совершаются посредством вполне законного, с точки зрения антивирусной защиты, IRC-клиента, подвергнутого незначительной модификации злоумышленниками. Для получения административного доступа к сетевым устройствам используется достаточно простой метод: обращение к ним через соответствующий протокол. SSHи последовательно тестирует распространенные комбинации логинов и паролей. Поскольку многие маршрутизаторы, устройства для «умного дома» и другое сетевое IT-оборудование, предназначенное для домашнего использования, по-прежнему имеют заводские настройки, такой подход оказывается простым и действенным.

Для защиты себя и своих устройств от подобных угроз эксперты советуют обязательно использовать сложные пароли для всех интерфейсов, используемых для доступа к домашнему сетевому оборудованию. Даже если у вас нет роутеров или сетевых дисков, это не является гарантией безопасности: в частности, сотрудники Bitdefender выяснили, что Interplanetery Storm способен заражать операционные системы Windows и Android, но в настоящий момент не представляют собой приоритетную задачу.