Neues Botnetz infiziert 200.000 Geräte: Blockchain schützt vor Strafverfolgung

Ein sich schnell entwickelndes IoT-Botnetz namens Dysphoria hat schätzungsweise 200.000 Geräte weltweit infiziert. Es nutzt blockchainbasierte Domain-Systeme, um seine Steuerungsinfrastruktur vor Strafverfolgungsbehörden und Sicherheitsforschern zu verbergen, wie aus am 27. Juli veröffentlichten Erkenntnissen von QiAnXin XLab hervorgeht.bleepingcomputer+1

Das Botnetz tauchte Ende März auf, kurz nachdem ein von den USA, Kanada und Deutschland geleiteter internationaler Polizeieinsatz vier große IoT-Botnetze zerschlagen hatte, darunter JackSkid, von dem Dysphoria abstammt. Bei dem im März vom US-Justizministerium bekannt gegebenen Einsatz wurden Server, Domains und andere Systeme beschlagnahmt, die die Botnetze Aisuru, KimWolf, JackSkid und Mossad betrieben hatten. Diese hatten zusammen mehr als drei Millionen Geräte infiziert.cybersecuritydive

Blockchain als Schutzschild

Anstatt sich auf herkömmliche Domainnamen zu verlassen, die von Behörden beschlagnahmt werden können, haben die Betreiber von Dysphoria die Schadsoftware so programmiert, dass sie Einträge beim Ethereum Name Service und Solana Name Service abfragt, um aktive Steuerungsserver zu lokalisieren. Die Technik speichert Infrastrukturinformationen auf Blockchain-Netzwerken, wo Einträge weder durch Gerichtsbeschluss noch durch Zusammenarbeit mit Registrar-Diensten gelöscht werden können, wie es bei konventionellen Domains der Fall ist.interisle.substack+2

Forscher von XLab fanden heraus, dass C2-Adressen in gefälschten IPv6-Zeichenketten verborgen sind und über einen benutzerdefinierten Byte-Transformationsalgorithmus wiederhergestellt werden. Das Design erzeugt eine von Analysten als vielschichtige Auflösungskette beschriebene Struktur: Infizierte Geräte fragen Blockchain-Domains ab, um Weiterleitungsknoten zu finden, die dann die Adressen für die direkte Steuerungskommunikation bereitstellen.cybersecuritynews+1

Schnelle Entwicklung und Relay-Netzwerke

Seit XLab Dysphoria am 25. März erstmals entdeckte, hat das Botnetz häufige Code-Updates erfahren. Es wurden Unterstützung für mehrere Blockchains, neue Domains sowie eine Ende Juni entdeckte Variante hinzugefügt, die DDoS-Funktionen vollständig entfernt und infizierte Geräte stattdessen in Netzwerk-Relay-Proxys umwandelt. Diese Variante missbraucht UPnP, um 155 Port-Weiterleitungsregeln auf infizierten Geräten zu erstellen, wodurch interne Dienste für eingehende Internetverbindungen geöffnet werden.bleepingcomputer+1

Das Botnetz verbreitet sich über schwache Telnet- und SSH-Zugangsdaten und nutzt Schwachstellen in Routern, Kameras und anderer IoT-Hardware aus, darunter Sicherheitslücken, die bis ins Jahr 2017 zurückreichen. Zwischen dem 14. und 20. Juli verzeichnete XLab eine Spitze von 740.000 täglichen Pings von infizierten Hosts mit 239.000 Verbindungen von ausländischen Clients. Die Betreiber behaupten eine maximale DDoS-Kapazität von 4 Tbps auf einer Clearnet-Website, auf der der Dienst als Stresstest-Werkzeug vermarktet wird.cybersecuritynews+1

Ein schwereres Ziel

Die Kombination aus blockchainbasierter Namensauflösung, verschlüsselten Konfigurationen und einem verteilten Relay-Netzwerk aus Opfergeräten macht es schwerer, Dysphoria durch Beschlagnahme und Unterbrechung zu bekämpfen, jene Strategie, die sich nur wenige Monate zuvor gegen JackSkid als wirksam erwiesen hatte. "In nur wenigen Monaten hat die Familie häufige Varianten-Updates und technische Iterationen durchlaufen, was eine extrem starke Widerstandsfähigkeit zeigt," hieß es im Bericht von XLab.mallory+2