Новый червеобразный ботнет NoaBot атакует SSH-серверы для криптомайнинга

Новый червеобразный ботнет NoaBot атакует SSH-серверы для криптомайнинга

Новый червеобразный ботнет NoaBot атакует SSH-серверы для криптомайнинга

NoaBot — новый ботнет, основанный на печально известном Mirai, засветился в компаниях криптомайнинга. Особенностью NoaBot можно назвать самораспространяющийся компонент и SSH-бэкдор.

На атаки операторов NoaBot указали специалисты компании Akamai. Стив Купчик, один из исследователей поделился в отчёте следующим данными:

«Среди функциональных возможностей NoaBot — самораспространение по типу сетевого червя, а также скачивание и выполнение на сервере дополнительных бинарников».

Mirai породил множество преемников после утечки исходного кода вредоноса в 2016 году. NoaBot как раз стал одним из них, при этом эксперты связывают его активность с сетевым червём P2PInfect, активность которого в сентябре 2023 года возросла в 600 раз.

Дело в том, что злоумышленники в качестве эксперимента иногда устанавливали P2PInfect вместо NoaBot. Модуль нового ботнета, отвечающий за распространение, задействует SSH-сканер для поиска уязвимых к подбору паролей серверов.

Если операторам удаётся обнаружить потенциальную цель, они запускают классический брутфорс с подбором по словарю, после чего добавляют открытый ключ SSH в файл .ssh/authorized_keys.

При необходимости NoaBot легко загружает и выполняет дополнительные бинарники, а также пытается найти новые жертвы и перескочить на них.

 

«NoaBot скомпилирован при помощи uClibc, что, судя по всему, повлияло на детектирование антивирусными средствами. Как правило, варианты Mirai обнаруживаются с помощью соответствующей сигнатуры, однако в NoaBot защитные программы видят SSH-сканер или обычный троян».

Обфускация также помогает операторам действовать незаметно, а конечной целью является установка модифицированной версии вредоносного майнера XMRig.

Исследователям из Akamai удалось выявить 849 IP-адресов жертв нового ботнета. Основная часть заражений пришлась на Китай, хотя географически киберпреступники не привязываются к какой-либо стране.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Под блокировку Роскомнадзора попали уже 260 VPN

В настоящее время Роскомнадзор блокирует доступ к 258 сервисам VPN, не препятствующим доступу к запрещенному в стране контенту. В сравнении с прошлым годом черный список российского регулятора возрос почти на 31%.

В 2024 году под блок РКН попали 197 VPN. Новые цифры озвучил на проходящем в Сочи форуме Спектр-2025 Владислав Смирнов, возглавляющий исследования перспективных технологий в ГРЧЦ (Главный радиочастотный центр, работает под эгидой РКН).

Со слов спикера корреспондент ТАСС также пишет, что в 2025 году в рунете было заблокировано 252 анонимных имейл-сервиса (+20% в сравнении с 2024-м), 173 приложения (+28%), 410 источников вредоносных программ и 119 тыс. фишинговых сайтов (+441%).

По всей видимости, речь идет о ресурсах, уличенных в нарушении российского законодательства и попавших за это в реестр запрещенных Роскомнадзором.

Блокировка таких правонарушителей осуществляется с помощью технических средств противодействия угрозамТСПУ. Это оборудование устанавливается у интернет-провайдеров, но находится в ведении РКН.

Напомним, с марта прошлого года в России под блок могут попасть не только VPN-сервисы, игнорирующие требования регулятора рунета, но также ресурсы, рекламирующие VPN как средство обхода ограничений, введенных Роскомнадзором.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru