Um novo botnet temível está ganhando força rapidamente

Nova versão do Mirai está se expandindo rapidamente, alertam especialistas

Um antigo e infame trojan foi bifurcado, com a nova variante sendo usada para atacar servidores Linux SSH, alertaram especialistas.

No entanto, ao contrário do malware original, cujo objetivo era bastante claro, os pesquisadores ainda não têm certeza do que os operadores estão fazendo desta vez.

Pesquisadores de segurança cibernética da Fortinet detectaram malware de IoT com strings incomuns relacionadas a SSH e, depois de aprofundar um pouco mais, descobriram o RapperBot, uma variante do temido trojan Mirai.

Acesso à venda?

O RapperBot foi implantado pela primeira vez em meados de junho de 2022 e está sendo usado para força bruta em servidores SSH Linux e para obter persistência nos endpoints.

O RapperBot empresta bastante do Mirai, mas possui seu próprio protocolo de comando e controle (C2), além de alguns recursos exclusivos.

Mas, ao contrário do Mirai, cujo objetivo era se espalhar para o maior número possível de dispositivos e, em seguida, usar esses dispositivos para montar ataques devastadores de negação de serviço distribuído (DDoS), o RapperBot está se espalhando com mais controle e tem DDoS limitado (às vezes até completamente desativado).

A primeira impressão dos pesquisadores é que o malware pode ser usado para movimento lateral dentro de uma rede de destino e como o primeiro estágio em um ataque de vários estágios. Também poderia ser usado simplesmente para obter acesso aos dispositivos de destino, acesso que mais tarde poderia ser vendido no mercado negro. Os pesquisadores chegaram a essa conclusão, entre outras coisas, pelo fato de o trojan ficar parado, uma vez que compromete um dispositivo.

Seja qual for o fim do jogo, o trojan é bastante ativo, afirmam os pesquisadores, dizendo que no último mês e meio, ele usou mais de 3.500 endereços IP exclusivos em todo o mundo, para escanear e forçar servidores Linux SSH. Para iniciar um ataque de força bruta, o trojan primeiro baixa uma lista de credenciais de seu C2, por meio de solicitações TCP exclusivas do host. Se for bem-sucedido, relata os resultados de volta ao C2.

“Ao contrário da maioria das variantes do Mirai, que nativamente invadia servidores Telnet com força bruta usando senhas padrão ou fracas, o RapperBot verifica e tenta exclusivamente servidores SSH de força bruta configurados para aceitar autenticação de senha”, explica Fortinet. “A maior parte do código do malware contém uma implementação de um cliente SSH 2.0 que pode conectar e forçar qualquer servidor SSH que suporte a troca de chaves Diffie-Hellmann com chaves de 768 bits ou 2048 bits e criptografia de dados usando AES128-CTR”.