Dark_nexus僵尸网络通过强大的新功能超越了其他恶意软件

一个新的僵尸网络进入了威胁领域,研究人员称其“羞辱”现场的其他人,例如Mirai和Qbot。

网络安全公司Bitdefender的研究人员周三表示,被称为“ dark_nexus” 的新僵尸网络包含了一系列功能和功能,这些特征和功能已经超越了当今僵尸网络中常见的功能。 

僵尸网络是机器,物联网(IoT)产品和移动设备的网络,这些网络已经受到威胁并被奴役为主控制器。这些设备可以一起用于执行分布式拒绝服务(DDoS)攻击,大规模发起垃圾邮件活动等等。 

Dark_nexus之所以如此命名,是因为其横幅上印有字符串,它具有指向Mirai和Qbot的代码链接,但该团队表示,僵尸网络的大部分功能都是原始的。 

Bitdefender说:“尽管它可能与以前已知的IoT僵尸网络共享某些功能,但是其某些模块的开发方式使其功能更加强大和强大。” 

Dark_nexus已经存在了三个月,在此期间,已经发布了三个不同的版本。蜜罐透露,至少有1372个僵尸程序与僵尸网络连接,其中大多数托管在中国,大韩民国,泰国和巴西。 

为了在发现后危害计算机,僵尸网络将使用凭据填充和漏洞利用。正在使用两个模块,一个为同步模块,一个为异步模块,但是这两个模块都将尝试使用Telnet协议和预定义的凭据列表来获取访问权限。 

“与其他广泛使用的僵尸网络所使用的扫描程序非常相似,该扫描程序被实现为对Telnet协议和随后的感染步骤进行建模的有限状态机,其中攻击者根据先前命令的输出来自适应地发出命令,” Bitdefender解释。 

在启动过程中,僵尸网络使用与Qbot相同的进程。实现了几个派生,阻止了一些信号,然后僵尸网络将自己与终端分离。僵尸网络将以与Mirai相同的方式将自身绑定到端口7630。此外,该恶意软件还会尝试通过将自身重命名为/ bin / busybox来隐藏其活动。 

僵尸网络具有针对12种不同CPU架构定制的有效负载,并且根据受害人的配置和设置进行交付。 

Dark_nexus使用一种非常独特的方法来维持机器的立足点-一种对现有流程进行的“风险评估”形式。恶意软件的代码中包括一个列入白名单的进程列表,以及它们的进程标识符,这些标识符指示认为可以的进程。越过“怀疑阈值”的所有事物都会被杀死。 

僵尸网络连接到两台命令和控制(C2)服务器,以及一台报告服务器,该服务器在发现时接收易受攻击的服务的报告-包含IP和端口号。

服务器地址要么被硬编码为轻量级下载器,要么被提供为反向代理功能,在某些情况下,该地址用于将每个受害者转变为托管服务器的代理,然后再为随机端口上的样本提供服务。 

僵尸网络发起的攻击非常典型,只有一个例外-browser_http_req命令。Bitdefender表示此元素“高度复杂且可配置”,并且“试图将流量伪装成浏览器可能产生的无害流量”。

另一个有趣的功能是尝试防止设备重新启动。Cron服务被破坏并停止,同时还从可能重新启动计算机的可执行文件中删除了权限。 

僵尸网络的开发者被认为是希腊人。Helios是著名的僵尸网络作者,多年来一直在地下论坛中鞭打DDoS服务。 

研究人员还在恶意软件的某些版本中发现了socks5代理,在Mirai变体,TheMoon和Gwmndy等僵尸网络中也发现了此功能,并继续关注僵尸网络的发展。

 

*编译:Domino

*来自:ZDNET