SBIDIOT Malware
Die Verbreitung von IoT-Geräten (Internet-of-Things) zeigt insbesondere im Industriesektor weiterhin ein schnelles Wachstum. Als solche haben Cyberkriminelle einen breiten neuen Pool potenzieller Ziele für Malware-Infektionen gefunden. Eine der neuesten Bedrohungen, die speziell für IoT-Geräte entwickelt wurden, heißt SBIDIOT Malware.
Wie bei den meisten IoT-Bedrohungen besteht das Hauptziel der SBIDIOT-Malware darin, alle infizierten Geräte in ein Botnetz zu integrieren. Obwohl die Rechenleistung von Botnetzen auf verschiedene Arten genutzt werden kann, besteht die wichtigste darin, DDoS-Angriffe gegen bestimmte Ziele zu starten. DDOS steht für Distributed Denial of Service - die Geräte im Botnetz erzeugen eine übermäßige Belastung des von den Hackern ausgewählten Servers, wodurch Benutzer nicht auf seine Dienste zugreifen können. Eine Methode, die SBIDIOT Malware zur Verbreitung verwendet, besteht darin, eine RCE-Sicherheitsanfälligkeit (Remote Code Execution) in ZTE-Routern auszunutzen.
SBIDIOT Malware-Funktionalität
Die von den Infosec-Forschern durchgeführte Analyse des Bedrohungscodes ergab, dass die SBIDIOT-Malware insgesamt 16 Befehle ausführen kann, die vom Command-and-Control-Server (C2, C & C) empfangen und mit einer Liste von Zeichenfolgen abgeglichen wurden. Die IP-Adresse und der Port des C2 sind fest in die Binärdatei von SBIDIOT codiert. Die vollständige Liste lautet: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stopp, Stopp.
Es überrascht nicht, dass fast alle von der Bedrohung ausgeführten Aktionen mit dem Starten von DDoS-Angriffen mit verschiedenen Methoden und erforderlichen Argumenten zusammenhängen. Beispielsweise wird der Befehl HTTPSTOMP über eine HTTP-Methode, eine Host / Port-Kombination, die Dauer des Angriffs und eine Anzahl definiert, die angibt, wie oft die Vorgänge wiederholt werden. Die Befehle HEX, STD, R6, NFO, FN, OVHKILL, NFOKILL und UDPH rufen alle dieselbe Funktion auf, für die ein Hostname, ein Port und eine Begrenzung der Angriffsdauer erforderlich sind. Anschließend wird UDP-Verkehr mit einer festen Nutzlast generiert.
Die Hauptausnahmen sind die Befehle STOP, stop und Stop. Bei der Initiierung senden sie ein SIGKILL-Signal an alle Prozess-IDs, die gerade verfolgt werden. Dadurch kann der Bedrohungsakteur den ausgewählten Prozess sofort beenden.
