Son zamanlarda keşfedilen bir botnet, aktif kalkınma altında, Linux sistemlerini hedef alarak, onları hassas bilgileri çalmaya hazır, kökleri kurmaya, rootkits kurmaya, ters kabukları oluşturmaya ve web trafiği vekilleri olarak hareket etmeyi hedefliyor.
Yeni Bulunan kötü amaçlı yazılım, B1Txor20, QIHOO 360'ın Ağ Güvenliği Araştırma Laboratuvarı'ndaki (360 Netlab) tarafından araştırmacılar tarafından Dubbed, Linux koluna, X64 CPU mimarisi cihazlarına odaklanıyor.
Botnet, log4j güvenlik açığını, yeni ana bilgisayarları bulaştırmayı hedefleyen, çok çekici bir saldırı vektörünün, düzinelerce satıcının savunmasız Apache log4j günlük kütüphanesini kullandığını gören çok çekici bir saldırı vektörünü kullanır.
Araştırmacılar ilk önce ilk numune Honeypot sistemlerinden biri tarafından kapandığında B1Txor20 Botnet'i 9 Şubat'ta gördü.
Sonuç olarak, arka kapı, SOCKS5 proxy, kötü amaçlı yazılım indirme, veri hırsızlığı, rastgele komut uygulaması ve Rootkit yükleme işlevselliği olan toplam dört kötü amaçlı yazılım örnekleri yakaladılar.
Bununla birlikte, B1TXOR20 kötü amaçlı yazılımın önüne geçmesini sağlayan şey, Command-Control (C2) sunucusuyla iletişim kanalları için DNS tünellerinin kullanılması, eski fakat hala güvenilir bir teknikle, Tünel Kötü Amaçlı Yazılım ve Verilere DNS Protokolü'nü kullanma DNS sorguları aracılığıyla.
"BOT, çalınan hassas bilgileri, komuta yürütme sonuçlarını ve teslim edilmesi gereken diğer bilgileri, belirli kodlama tekniklerini, C2'yi bir DNS isteği olarak kullanarak sakladıktan sonra," dedi.
"İsteği aldıktan sonra, C2 yükünü DNS isteğine bir cevap olarak bot tarafına gönderir. Bu şekilde, BOT ve C2, DNS protokolünün yardımıyla iletişim kurar."
360 Netlab araştırmacıları ayrıca, kötü amaçlı yazılımın geliştiricileri daha geniş bir özellik seti dahil ederken, hepsi etkin değil.
Bu muhtemelen engelli özelliklerin hala buggy olduğunu ve B1Txor20'nin yaratıcıları hala onları geliştirmek ve gelecekte onları geçiş yapmak için çalışıyor.
360 netlab raporunun sonunda uzlaşma (IOC) ve tüm desteklenen C2 talimatlarının bir listesi dahil olmak üzere ek bilgiler.
Açıklaması, birden fazla tehdit aktörünün, Çin, İran, Kuzey Kore ve Türkiye'deki hükümetlere bağlı devlet destekli hack grupları ve Ransomware çetelerinin kullandığı erişim brokerleri gibi, log4shell'i saldırılarında konuşlandırdı.
"Log4j güvenlik açığı maruz kaldığından, daha fazla ve daha kötü amaçlı yazılımın vagonuna atlamış olduğunu görüyoruz, Elnot, Gafgyt, Mirai'nin hepsi çok tanıdık," 360 Netlab araştırmacıları ekledi.
Örneğin, Aralık ayında, Mirai ve Muhstik Linux kötü amaçlı yazılımlı savunmasız Linux cihazlarını enfekte etmek için LOG4J güvenlik kusurunu kullanan tehdit aktörlerini tespit ettiler.
Bu botnetler "işe alınan" iot aygıtları ve sunucuları işe alındı ve Crypto madencilerini kullanmalarını ve büyük ölçekli DDOS saldırıları yapması için kullanıldı.
Barracuda, 360 Netlan'ın raporunu bu ayın başlarında doğruladı, DDOS ve Lion payını alarak, DDOS ve Cryptomining için kaldıraçlı Mirai Botnet varyantları ile çeşitli yükler gördüklerini söylüyor.
Log4shell, artık DDOS Botnets, Cryptominers için kullanılmıştır.
Emotet Kötü Amaçlı Yazılım Kampanyası, IRS'yi 2022 vergi sezonu için taklit eder.
Emotet, Kasım ayının yeniden canlanmasından beri yavaşça ama istikrarlı bir şekilde büyüyor
Microsoft: Ukrayna, işgal öncesi Foxblade kötü amaçlı yazılım saatleriyle vurdu.
Çin Siberleri 'En Gelişmiş' Backdoor ile Govts Hedef
Kaynak: Bleeping Computer