Tietoturvayritys Fortinet löysi kesäkuun puolivälissä uuden haittaohjelman, joka perustuu lähdekoodiltaan pääosin Mirai-bottiin. RapperBot-nimen saanut koodi yrittää murtaa Linux-palvelimien SSH-salausta ja päästä käsiksi palvelimien käyttäjätietoihin.
Fortinetin mukaan uudemmat versiot viittaavat siihen, että bottiin on lisätty sen pysyvyyttä parantavia osia. RapperBot siis vastustaa suojausyrityksiä paremmin kuin Telnet-yhteyksiin murtautunut Mirai.
Lisäanalyysin jälkeen Fortinetin tutkijat havaitsivat, että RapperBot-haittaohjelmaperhe on suunniteltu toimimaan ensisijaisesti SSH:n brute force -tyyppisessä murtamisessa rajoitetuilla DDoS-ominaisuuksilla. Kuten useimmille IoT-haittaohjelmille on tyypillistä, se kohdistuu Arm-, MIPS-, SPARC- ja x86-arkkitehtuureihin.
RapperBot käyttää uudelleen isoja osia Mirai-lähdekoodista, mutta sen ominaisuudet ja toteutustiedot, kuten Command & Control (C2) -komentoprotokolla, eroavat merkittävästi alkuperäisistä Mirai-pohjaisista ja FortiGuard Labsin valvomista tyypillisistä Mirai-pohjaisista versioista.
Toisin kuin suurin osa Mirai-versioista, jotka pakottavat Telnet-palvelimia luonnollisesti oletus- tai heikkosalasanoilla, RapperBot skannaa ja yrittää raa'asti pakottaa SSH-palvelimia, jotka on määritetty hyväksymään salasanatodennus. Suurin osa haittaohjelmakoodista sisältää SSH 2.0 -asiakkaan toteutuksen, joka voi muodostaa yhteyden ja pakottaa kaikki SSH-palvelimet, jotka tukevat Diffie-Hellmann-avainten vaihtoa 768- tai 2048-bittisillä avaimilla ja tietojen salausta AES128-CTR:n avulla.
Aiemmissa näytteissä raa'an pakottavan tunnisteluettelo oli kovakoodattu binaarikoodiin. Heinäkuusta eteenpäin näytteet hakevat tämän luettelon toisesta C2-palvelimen portista. Tämä antaa hyökkääjille mahdollisuuden lisätä jatkuvasti uusia SSH-tunnuksia tarvitsematta päivittää tartunnan saaneita laitteita uusilla näytteillä. Kun RapperBot murtautuu SSH-palvelimelle, kelvolliset tunnistetiedot raportoidaan C2-palvelimelle erillisen portin kautta.
Lisätietoja Fortinetin raportista.
Kuva: AdobeStock
