Самоходный Zerobot расширяет свои IoT-владения с помощью 21 эксплойта

Самоходный Zerobot расширяет свои IoT-владения с помощью 21 эксплойта

Самоходный Zerobot расширяет свои IoT-владения с помощью 21 эксплойта

Специалисты Fortinet обнаружили новый ботнет, состоящий из сетевых и IoT-устройств. Лежащий в его основе Go-зловред, которому было присвоено имя Zerobot, обладает способностью самораспространения и с этой целью использует два десятка эксплойтов.

Злоумышленники активно распространяют Zerobot с середины прошлого месяца. Атаки нацелены в основном на Linux-устройства — роутеры, IP-камеры, файрволы.

Для внедрения зловреда используются несколько уязвимостей, дальнейшее распространение обеспечивает специальный скрипт, загружаемый с C2-сервера с учетом аппаратуры жертвы (модуль сохраняется с именем файла zero — например, zero.arm64). Из поддерживаемых архитектур CPU выявлены i386, amd64, arm, arm64, mips, mips64, mips64le, mipsle, ppc64, ppc64le, riscv64 и s390x.

Эксперты также идентифицировали две версии Zerobot. Одна, с базовыми функциями, раздавалась до 24 ноября, другая — обновленный вариант, с модулем selfRepo для самораспространения на другие устройства через атаки с использованием различных протоколов (TCP, UDP, TLS, HTTP, ICMP) или уязвимостей.

При запуске Zerobot вначале проверяет доступность IP 1.1.1.1, публичного DNS-сервиса Cloudflare. Затем он прописывается в системе с учетом типа используемой ОС. На Windows-устройствах копия сохраняется в папке автозагрузки с именем файла FireWall.exe. В Linux могут быть варианты — каталог %HOME%, /etc/init/ или /lib/systemd/system/.

После этого выполняется настройка AntiKill, чтобы жертва не могла прибить процесс зловреда. Для перехвата пользовательских сигналов этот модуль использует функцию signal.Notify.

По окончании инициализации Zerobot подключается к C2-серверу, используя протокол WebSocket, и отправляет информацию о зараженной системе, а затем ждет ответных команд. Среди последних примечательна enable_scan, запускающая поиск открытых портов для дальнейшего распространения вредоноса через эксплойт или взлом SSH/Telnet.

На настоящий момент в арсенале бота числится 21 эксплойт. Семнадцать из них заточены под известные уязвимости в популярных продуктах — роутерах TOTOLINK, файрволах Zyxel, IP-камерах Hikvision, фреймворке Spring (Spring4Shell) и т. п. 

 

Два эксплойта, именуемых ZERO_xxxxx (с числовым ID), взяты с сайта 0day.today, публикующего такие инструменты в «образовательных» целях.

Мошенники устроили распродажу невостребованных новогодних подарков

Киберполиция Санкт-Петербурга предупреждает о новой волне мошенничества в мессенджерах. Обманщики от имени крупных ретейлеров предлагают по бросовым ценам купить «зависшие» новогодние подарки — электронику и бытовую технику.

Новая приманка служит единственной цели: заполучить СМС-код на доступ к онлайн-банкингу. Откликнувшихся злоумышленники просят его прислать, чтобы подтвердить бронь, оплату либо участие в мифической акции.

Киберкопы призывают россиян к бдительности и советуют проверять щедрые посулы в официальных источниках. Крупные торговые сети, как правило, анонсируют распродажи и скидки на своих сайтах и в аккаунтах; можно также уточнить информацию по опубликованному контактному телефону.

Одноразовые коды из СМС и пуш-уведомлений добросовестные продавцы никогда не запрашивают. Если вы уже его передали, следует незамедлительно связаться с банком, сменить пароль, заблокировать операции по счету и провести проверку на предмет подозрительных списаний, а также несанкционированного оформления подписок и кредитов.

По всей видимости, принимаемые властями меры противодействия мошенничеству, а также информационно-просветительская работа экспертов и правоохраны приносят свои плоды, и доходы мошенников, обычно возрастающие в сезон праздничных распродаж, стали падать.

Чтобы удержаться на плаву, аферистам приходится постоянно придумывать новые приманки и совершенствовать их, в том числе с помощью ИИ, и использовать малейший предлог для проведения атак в попытках добрать то, что не удалось привычно украсть в преддверии больших праздников.

RSS: Новости на портале Anti-Malware.ru