Поиск

В Сети замечен новый IoT-ботнет, получивший название JenX (производное от Jennifer – названия вредоносного ПО, использующегося для заражения маршрутизаторов), в основном применяющийся для атак на игроков в online-игру Grand Theft Auto на определенных бесплатных серверах. По данным специалиста Radware Паскаля Джиненса, за созданием ботнета стоит группировка Los Calvos de San Calvicie, которая эксплуатирует уязвимости в прошивках устройств RealTek и Huawei HG532 для пополнения «зомби»-сети. В настоящее время JenX включает в себя небольшие домашние и офисные маршрутизаторы. В отличие от большинства IoT-ботнетов, Los Calvos de San Calvicie используют ряд не связанных с «Интернетом вещей» серверов для сканирования Сети на предмет уязвимых устройств, поэтому в настоящее время оценить масштаб JenX в полной мере не представляется возможным. Участники группировки управляют доменом sancalvicie.com, на котором размещается игровой сервер Grand Theft Auto. Тот же домен служит командным сервером JenX. Как полагает Джиненс, хакеры атакуют игроков с целью привлечь посетителей на свой сайт. Более того, у Los Calvos de San Calvicie есть и побочный бизнес – сервис по проведению DDoS-атак на заказ. Согласно рекламе на сайте, атаки мощностью в 290-300 Гб/с обойдутся заказчику в $20 за каждую. По словам Джиненса, специалисты Leaseweb отключили несколько серверов JenX, расположенных в дата-центрах компании, однако C&C-сервер и ряд остальных серверов JenX по-прежнему остаются активными. LeaseWeb – один из крупнейших европейских хостинг-провайдеров. Головной офис компании расположен в Амстердаме, Нидерланды, есть филиалы с дата-центрами в Германии и США. LeaseWeb предлагает различные услуги в сфере хостинга: предоставление выделенных серверов, колокацию, облачный хостинг, Content Delivery Network (CDN) и гибридные решения.

Новый ботнет из незащищенных web- и IP-камер наращивает объем, сканируя интернет на наличие подключенных уязвимых устройств «Интернета вещей» (IoT). В марте текущего года исследователь безопасности Пьер Ким сообщил о порядка 185 тыс. незащищенных камер, продающихся под 1200 брендами. Эксперт уведомил производителя о проблеме, однако так и не получил ответ. По данным ИБ-экспертов, с 16 апреля злоумышленники начали масштабное сканирование интернета. Первыми сканирование зафиксировали исследователи Технологического института SANS. Специалисты обратили внимание на участившиеся попытки поиска открытых портов 81, однако не могли определить причину. Точки на «i» расставил новый отчет экспертов из Qihoo 360 Network Security Research Lab (NetLab). Согласно отчету, сканирование осуществляет новый IoT-ботнет. Исследователям также удалось проанализировать образец вредоносного ПО, инфицирующего уязвимые устройства. В коде были обнаружены отсылки к Mirai, однако, по мнению экспертов, вредонос не является его вариантом. Специалисты считают, что вредоносное ПО представляет собой замаскированную под Mirai новую угрозу. Атака осуществляется следующим образом. Сначала злоумышленники сканируют Сеть в поисках встроенного в уязвимые камеры web-сервера GoAhead. Обнаружив уязвимый хост, хакеры эксплуатируют обнаруженную Кимом уязвимость. Если атака удалась, злоумышленники получают права суперпользователя, загружают вредоносное ПО и переходят к другому хосту. Поиски новой жертвы осуществляются через порт 81 предыдущего зараженного устройства. За одну неделю с 16 апреля эксперты NetLab ежедневно фиксировали 2,7 млн сканирований, осуществляемых с 57,4 тыс. уникальных IP-адресов. В настоящее время ботнет управляется с C&C-сервера, расположенного в иранских доменах load.gtpnet.ir и ntp.gtpnet.ir 23 апреля ботнет использовался для проведения DDoS-атаки на российский банк.