Ботнет Фембой атакует роутеры и IoT

Новый ботнет Gayfemboy уже взламывает роутеры и IoT по всему миру. Его используют для DDoS-атак и майнинга, а защититься от него куда сложнее, чем от старых клонов Mirai.

Код строится на базе Mirai, но доработан для скрытности и долговечности. По данным XLab Qianxin, активность началась в феврале 2024 года и не сходит на нет: авторы ускоренно меняли упаковку UPX, формат регистрационных пакетов и набор эксплойтов, задействовав вплоть до 0-day в индустриальных маршрутизаторах Four-Faith. Исследователи оценивали ботнет в более чем 15 000 активных узлов в сутки и фиксировали ответные DDoS-удары на их sinkhole-домены. Как ни странно, часть строк и артефактов в двоичных файлах оставалась в открытом виде - видимо, ставка делалась на другие уловки маскировки.

Что нового по сравнению с «классикой» Mirai. В отчете Fortinet, пересказанном профильными медиа, указывается, что помимо типовых UDP/TCP/ICMP-флудов вредонос содержит модули мониторинга, watchdog, а также «killer» для подавления конкурентов - все это помогает держать устройство в строю и незаметно выполнять команды. Честно говоря, набор выглядит почти как «комбайн» для взломанных роутеров.

Под ударом - от квартирных роутеров до промышленных сетей. Отмечены компрометации устройств DrayTek, TP-Link, Raisecom и Cisco, а также отраслей от производства и строительства до технологий и медиа. География широка: Бразилия, Мексика, США, Германия, Франция, Швейцария, Израиль, Вьетнам и не только. Картина напоминает «ковер» из уязвимых точек доступа по всему миру.

Эксплуатация известных и свежих уязвимостей. В ход идут как N-day, так и 0-day: от критичных RCE в SOHO-роутерах до свежих проблем в инфраструктурном ПО. В частности, документированы атаки на Four-Faith через 0-day, позднее получивший идентификатор CVE-2024-12856.

DDoS по требованию. Вредонос способен быстро собирать трафик с тысяч узлов и запускать флуды по команде C2 - именно этот «арендный» сценарий делает угрозу критической и для бизнеса, и для домашних пользователей за одним провайдерским каналом.

Криптомайнинг и скрытность. Исследователи отмечают установку майнеров, убийство конкурирующих процессов, антианализ со «сном» в песочницах и динамику C2-доменов. В одном из наблюдений фиксировались короткие, но болезненные DDoS-эпизоды на инфраструктуру исследователей с суммарным трафиком порядка сотен гигабайт. Удивительно, но даже «мелкие» атаки на несколько десятков секунд способны выключить VPS на сутки из-за авто-блэкхолинга у провайдера.

Устойчивость - его фича, а не побочный эффект. Gayfemboy прячет процесс, чистит конкурентов, меняет упаковку, вращает домены и поддерживает зоопарк архитектур от ARM/MIPS до x86 - именно так ботнет сохраняет массовость и управляемость. И да, одно имя домена веселит, другое раздражает, но по сути перед нами прагматичный инженерный проект киберпреступников.

* — ЛГБТ признана в РФ экстремистской организацией

Как встроить ИИ в процесс, рабочие промпты и кейсы - подписывайтесь на мой ТГ-канал