Blockchain kullanan yeni botnet kolluk kuvvetlerini atlatarak 200 bin cihazı ele geçirdi

QiAnXin XLab tarafından 27 Temmuz'da yayımlanan bulgulara göre, Dysphoria adı verilen ve hızla gelişen bir IoT botnet'i, komuta kontrol altyapısını kolluk kuvvetlerinden ve güvenlik araştırmacılarından gizlemek için blokzincir tabanlı alan adı sistemlerini kullanarak dünya çapında yaklaşık 200.000 cihazı enfekte etti.bleepingcomputer+1

Botnet, ABD, Kanada ve Almanya liderliğindeki çok uluslu bir kolluk kuvveti operasyonunun, Dysphoria'nın türediği JackSkid de dahil olmak üzere dört büyük IoT botnet'ini çökertmesinden kısa bir süre sonra, Mart ayı sonlarında ortaya çıktı. Adalet Bakanlığı tarafından duyurulan Mart ayındaki bu operasyonda, toplamda üç milyondan fazla cihazı enfekte etmiş olan Aisuru, KimWolf, JackSkid ve Mossad botnet'lerine güç veren sunuculara, alan adlarına ve diğer sistemlere el konulmuştu.cybersecuritydive

Kalkan Olarak Blokzincir

Yetkililerin el koyabileceği geleneksel alan adlarına güvenmek yerine, Dysphoria'nın operatörleri zararlı yazılımı, aktif kontrol sunucularını bulmak için Ethereum Name Service ve Solana Name Service kayıtlarını sorgulayacak şekilde programladı. Bu teknik, altyapı bilgilerini blokzincir ağlarında saklıyor, burada kayıtlar geleneksel alan adlarında olduğu gibi mahkeme kararı veya kayıt kuruluşu iş birliğiyle kaldırılamıyor.interisle.substack+2

XLab araştırmacıları, C2 adreslerinin sahte IPv6 dizelerinin içine gizlendiğini ve özel bir bayt dönüştürme algoritması kullanılarak geri alındığını tespit etti. Tasarım, analistlerin katmanlı bir çözümleme zinciri olarak tanımladığı yapıyı oluşturuyor: Enfekte olan cihazlar, aktarım dağıtım düğümlerini bulmak için blokzincir alan adlarını sorguluyor, bu düğümler daha sonra doğrudan komuta kontrol iletişimi için kullanılan adresleri sağlıyor.cybersecuritynews+1

Hızlı Evrim ve Aktarım Ağları

XLab'in Dysphoria'yı ilk kez 25 Mart'ta tespit etmesinden bu yana botnet, çoklu zincir desteği, yeni alan adları ve Haziran sonlarında keşfedilen, DDoS işlevselliğini tamamen ortadan kaldırıp ele geçirilen cihazları ağ aktarım vekillerine dönüştüren bir varyant ekleyerek sık sık kod güncellemelerinden geçti. Söz konusu varyant, enfekte olmuş cihazlarda 155 bağlantı noktası yönlendirme kuralı oluşturmak için UPnP'yi kötüye kullanıyor ve dahili servisleri gelen internet bağlantılarına açık hale getiriyor.bleepingcomputer+1

Botnet, zayıf Telnet ve SSH kimlik bilgileri üzerinden yayılıyor, yönlendiriciler, kameralar ve diğer IoT donanımlarındaki 2017'ye kadar uzanan açıkları kötüye kullanıyor. 14 ile 20 Temmuz tarihleri arasında XLab, enfekte konakçılardan günlük en yüksek 740.000 ping kaydetti, bunların 239.000'i yurt dışındaki istemcilerden gelen bağlantılardı. Operatörler, hizmeti bir stres testi aracı olarak pazarlayan açık ağ üzerindeki bir sitede maksimum 4 Tbps DDoS kapasitesi iddiasında bulunuyor.cybersecuritynews+1

Daha Zorlu Bir Hedef

Blokzincir tabanlı adlandırma, şifrelenmiş konfigürasyonlar ve kurban cihazlardan oluşan dağıtık bir aktarım ağının birleşimi, Dysphoria'yı sadece aylar önce JackSkid'e karşı etkili olduğu kanıtlanan el koyma ve sinkhole taktikleriyle çökertilmesi daha zor bir hedef haline getiriyor. XLab raporunda, "Sadece birkaç ay içinde bu aile, çok güçlü bir direnç göstererek sık sık varyant güncellemelerinden ve teknik yinelemelerden geçti," ifadelerine yer verdi.mallory+2