Նոր բոտնեթը վարակել է 200․000 սարք՝ բլոկչեյնով շրջանցելով իրավապահներին

Արագ զարգացող Dysphoria կոչվող IoT բոտնեթը վարակել է մոտ 200,000 սարք ամբողջ աշխարհում՝ օգտագործելով բլոկչեյնի վրա հիմնված դոմենային համակարգեր, որպեսզի իր կառավարման ենթակառուցվածքը թաքցնի իրավապահ մարմիններից և կիբեռանվտանգության հետազոտողներից. այս մասին հուլիսի 27-ին հայտնել է QiAnXin XLab-ը:bleepingcomputer+1

Բոտնեթն ի հայտ է եկել մարտի վերջին, այն բանից անմիջապես հետո, երբ ԱՄՆ-ի, Կանադայի և Գերմանիայի գլխավորած իրավապահ մարմինների միջազգային գործողությունը ոչնչացրեց չորս խոշոր IoT բոտնեթներ, այդ թվում՝ JackSkid-ը, որից էլ սերում է Dysphoria-ն: Մարտ ամսվա այդ գործողության ընթացքում, որի մասին հայտարարել էր Արդարադատության նախարարությունը, առգրավվել էին Aisuru, KimWolf, JackSkid և Mossad բոտնեթները սնուցող սերվերներ, դոմեններ և այլ համակարգեր, որոնք ընդհանուր առմամբ վարակել էին ավելի քան երեք միլիոն սարք:cybersecuritydive

Բլոկչեյնը որպես վահան

Փոխանակ ապավինելու ավանդական դոմենային անուններին, որոնք իշխանությունները կարող են առգրավվել, Dysphoria-ի օպերատորները ծրագրավորել են վնասակար ծրագիրը Ethereum Name Service-ի և Solana Name Service-ի գրանցումներում որոնումներ կատարելու համար, որպեսզի գտնեն ակտիվ կառավարման սերվերները: Այս տեխնիկան ենթակառուցվածքի մասին տեղեկատվությունը պահում է բլոկչեյն ցանցերում, որտեղ գրանցումները չեն կարող հեռացվել դատարանի որոշմամբ կամ ռեգիստրարների համագործակցությամբ, ինչպես դա արվում է սովորական դոմենների դեպքում:interisle.substack+2

XLab-ի հետազոտողները պարզել են, որ C2 հասցեները թաքցված են կեղծ IPv6 տողերի մեջ և վերականգնվում են բայթերի ձևափոխման հատուկ ալգորիթմի միջոցով: Այս կառուցվածքը ստեղծում է այն, ինչ վերլուծաբանները նկարագրում են որպես բազմաշերտ հանգուցալուծման շղթա. վարակված սարքերը հարցում են ուղարկում բլոկչեյն դոմեններին՝ փոխանցման-բաշխման հանգույցներ գտնելու համար, որոնք այնուհետև տրամադրում են ուղղակի կառավարման հաղորդակցության համար օգտագործվող հասցեները:cybersecuritynews+1

Արագ էվոլյուցիա և փոխանցման ցանցեր

Այն պահից, երբ XLab-ն առաջին անգամ նկատեց Dysphoria-ն մարտի 25-ին, բոտնեթը ենթարկվել է ծրագրային կոդի հաճախակի թարմացումների՝ ավելացնելով բազմաշղթայական (multi-chain) աջակցություն, նոր դոմեններ և հունիսի վերջին հայտնաբերված տարբերակ, որն ամբողջությամբ հեռացնում է DDoS ֆունկցիոնալությունը և դրա փոխարեն վարակված սարքերը վերածում է ցանցային փոխանցող պրոքսիների: Այդ տարբերակը չարաշահում է UPnP-ն՝ վարակված սարքերում ստեղծելով փորթերի վերահասցեավորման 155 կանոն, ինչը ներքին ծառայությունները բացում է մուտքային ինտերնետային միացումների համար:bleepingcomputer+1

Բոտնեթը տարածվում է Telnet-ի և SSH-ի թույլ վավերագրերի միջոցով և օգտագործում է երթուղիչների, տեսախցիկների և IoT այլ սարքավորումների խոցելիությունները, ներառյալ դեռևս 2017 թվականից թվագրվող թերությունները: Հուլիսի 14-ից 20-ն ընկած ժամանակահատվածում XLab-ը գրանցել է վարակված հյուրընկալողներից օրական առավելագույնը 740,000 փինգ (ping), որից 239,000 միացում՝ արտասահմանյան հաճախորդներից: Օպերատորները պնդում են, որ DDoS-ի առավելագույն հզորությունը կազմում է 4 Տբ/վ՝ բաց ցանցի (clearnet) կայքում, որը ծառայությունը ներկայացնում է որպես սթրես-տեստավորման գործիք:cybersecuritynews+1

Ավելի բարդ թիրախ

Բլոկչեյնի վրա հիմնված անվանման համակարգի, ծածկագրված կոնֆիգուրացիաների և զոհ դարձած սարքերից կազմված բաշխված փոխանցման ցանցի համադրությունը Dysphoria-ն դարձնում է ավելի դժվար խոցելի առգրավման և sinkhole-ի մեթոդներով, որոնք արդյունավետ էին JackSkid-ի դեմ ընդամենը ամիսներ առաջ: «Ընդամենը մի քանի ամսում ընտանիքը ենթարկվել է տարբերակների հաճախակի թարմացումների և տեխնիկական կրկնությունների՝ ցուցադրելով չափազանց ուժեղ դիմադրողականություն», — նշել է XLab-ն իր զեկույցում:mallory+2