Nýtt botnet sýkir 200 þúsund tæki og notar bálkakeðju til að komast undan löggæslu

IoT-botnet í hraðri þróun sem nefnist Dysphoria hefur sýkt um 200.000 tæki um allan heim og notar bálkakeðjubundin lénakerfi til að fela stjórnunarinnviði sína fyrir löggæslu og öryggissérfræðingum, samkvæmt niðurstöðum sem QiAnXin XLab birti 27. júlí.bleepingcomputer+1

Botnetið kom fram í lok mars, stuttu eftir að alþjóðleg löggæsluaðgerð undir forystu Bandaríkjanna, Kanada og Þýskalands leysti upp fjögur stór IoT-botnet, þar á meðal JackSkid, sem Dysphoria á rætur að rekja til. Aðgerðin í mars, sem var tilkynnt af dómsmálaráðuneyti Bandaríkjanna, leiddi til haldlagningar á netþjónum, lénum og öðrum kerfum sem knúðu botnetin Aisuru, KimWolf, JackSkid og Mossad, sem höfðu samanlagt sýkt meira en þrjár milljónir tækja.cybersecuritydive

Bálkakeðjan sem skjöldur

Í stað þess að reiða sig á hefðbundin lén sem yfirvöld geta gert upptæk, forrituðu stjórnendur Dysphoria skaðvalkinn til að fletta upp í skrám Ethereum Name Service og Solana Name Service til að finna virka stjórnþjóna. Tæknin geymir upplýsingar um innviði á bálkakeðjunetum, þar sem ekki er hægt að eyða skrám með dómsúrskurði eða samstarfi við lénaskráningaraðila eins og gert er við venjuleg lén.interisle.substack+2

Rannsakendur XLab komust að því að C2-vistföng eru falin innan í gervistrengjum fyrir IPv6 og endurheimt með sérsniðnu reikniriti fyrir bætaumbreytingu. Hönnunin skapar það sem sérfræðingar lýsa sem lagskiptri uppflettingarkeðju: sýkt tæki leita í bálkakeðjulénum til að finna dreifihnúta millimiðlunar, sem síðan gefa upp vistföngin sem notuð eru í beinum stjórnunarsamskiptum.cybersecuritynews+1

Hröð þróun og millimiðlunarnet

Frá því að XLab uppgötvaði Dysphoria fyrst hinn 25. mars hefur botnetið gengist undir tíðar uppfærslur á kóða, bætt við stuðningi við margar bálkakeðjur, nýjum lénum og afbrigði sem fannst í lok júní sem fjarlægir DDoS-virkni alveg og breytir sýktum tækjum í staðinn í milliþjóna fyrir netumferð. Það afbrigði misnotar UPnP til að búa til 155 gáttaáframsendinarreglur á sýktum tækjum, sem opnar á innri þjónustur fyrir innavandandi nettengingum.bleepingcomputer+1

Botnetið dreifist í gegnum veika aðgangskóða í Telnet og SSH og nýtir sér öryggisgalla í beinum, myndavélum og öðrum IoT-vélbúnaði, þar á meðal galla sem rekja má allt aftur til ársins 2017. Á milli 14. og 20. júlí skráði XLab hámark upp á 740.000 daglega pingskilaboð frá sýktum hýslum, með 239.000 tengingar frá erlendum notendum. Stjórnendurnir halda því fram á opinni vefsíðu, sem markaðssetur þjónustuna sem álagsprófunartæki, að hámarksgeta í DDoS-árásum sé 4 Tbps.cybersecuritynews+1

Erfiðara skotmark

Blanda af bálkakeðjubundnum lénum, dulkóðuðum stillingum og dreifðu millimiðlunarneti sýktra tækja gerir Dysphoria erfiðara í truflun með hefðbundnum aðferðum eins og haldlagningu og sökkkynningu sem reyndust árangursríkar gegn JackSkid nokkrum mánuðum fyrr. „Á aðeins nokkrum mánuðum hefur fjölskyldan gengist undir tíðar afbrigðauppfærslur og tæknilegar endurbætur, sem sýnir gríðarlega mikla mótstöðu,“ sagði XLab í skýrslu sinni.mallory+2