کشف نمونه جدید بات‌نت Mirai با قابلیت مخفی شدن در شبکه Tor

به گزارش کارگروه امنیت سایبربان؛ به نقل از معاونت بررسی مرکز افتا، این بات‌نت تلاش می‌کند تا دستگاه‌های IoT از جمله مسیریاب‌ها، دوربین‌های مداربسته، لوازم خانگی هوشمند و وسایل نقلیه را از طریق حملات جستجو فراگیر (brute-force) و استفاده از اطلاعات احرازهویت پیش فرض، تحت تصرف خود درآورد.

پس از استفاده از بات‌نت Mirai برای حمله به یکی از سایت‌های شناخته شده، کد منبع آن به صورت عمومی منتشر شد تا سایر عوامل مخرب نیز بتوانند آن را توسعه دهند و نسخه‌های مربوط به خود را ایجاد کنند. نسخه‌های تکامل یافته Mirai شامل موارد Okiru، Satori، Masuta، PureMasuta و Miori هستند.

پژوهشگران Trend Micro اخیرا نسخه جدیدی از این بات‌نت را کشف کرده‌اند که دارای كاركردهای مشابه سایر نمونه‌ها است. این موارد شامل دسترسی و کنترل از راه دور از طریق پورت‌های آسیب‌پذیر، باز و دارای اطلاعات احرازهویت پیش‌فرض و همچنین امکان انجام حملات DDoS و سیل UDP می‌باشند. آخرین نمونه Mirai روی پورت‌های ۹۵۲۷ و ۳۴۵۶۷ TCP تمرکز دارد که می‌تواند نشان دهنده تمایل برای تصاحب دوربین‌های IP و DVRها باشد. نکته جالب در مورد این نمونه، مخفی شدن سرورهای فرمان و کنترل (C&C) آن در آدرس‌های onion و شبکه Tor است. در نمونه‌های مختلف Mirai معمولا از یک الی چهار سرور C&C استفاده می‌شود، اما در این نمونه ۳۰ آدرس IP وجود دارد. همچنین در این نمونه از پراکسی‌های Socks۵ برای ارتباط با سرورها در شبکه Tor استفاده شده است. در صورتیکه یک ارتباط ناموفق باشد، بات‌نت از سرور دیگری از لیست خود استفاده می‌کند.

این بات‌نت اولین بدافزاری نیست که برای مخفی کردن خود از شبکه Tor استفاده می‌کند، اما می‌تواند الگوی مناسبی برای تکامل سایر بدافزارهای IoT باشد.

نشانه‌های آلودگی (IoC):

هش‌ها:

•    bc۵۶b۷aa۷۸b۷۱a۳d۰bcf۵fa۱۴eeeb۸۷eea۴۲b۵۲۹۸۸b۱۳bee۸d۳a۲۷baa۳۳۷۰a۳a

•    eeae۰۱f۴۷۱۷f۴d۶۲۴۸ee۹e۹e۶d۵۳d۸۴۱c۶۴۸e۳۵۲۵۹۷۱۶dfe۷۴cac۶۳۰e۱۵f۱۸۱۱

•    ۴d۴۶ad۴۶۰۲b۴۸۶ff۷۱۴۶a۱۴۱۶۵۹۴۸f۴۶a۷۰bf۴۱۳۲۳e۶bb۶۱۹cc۲ff۰۸ad۰۲f۲ee

•    ۷d۲f۵f۵efb۴aa۸e۵dca۵۴۳۷۳۴۸۲۹ac۴eb۹d۸۹۸۸۵d۷e۶۰aed۶af۴d۳۵۵۰۸ded۲۱c

URLها:

•    nd۳rwzslqhxibkl۷[.]onion:۱۳۵۶                  

•    hxxp://۱۸۵[.]۱۰۰[.]۸۴[.]۱۸۷/t/                   

•    hxxp://۸۹[.]۲۴۸[.]۱۷۴[.]۱۹۸/main/