Наскоро идентифицирана рамка за IoT ботнет, наречена TuxBot v3 Evolution, се насочва към свързани с интернет устройства и превръща компрометираните системи в инструменти за разпределени атаки за отказ на услуга (DDoS).

Зловредният код може да работи на широк спектър от архитектури на устройства, което създава сериозен риск за рутери, камери и друго изложено на опасност оборудване, базирано на Linux.

TuxBot използва няколко начина за получаване на достъп, включително отгатване на пароли за Telnet, сканиране за SSH, HTTP-базирано сондиране, сканиране на Android Debug Bridge и опити за експлоатиране на уязвими устройства.

Само неговият Telnet модул съдържа 1496 комбинации от потребителски имена и пароли, много от които са идентификационни данни по подразбиране или специфични за доставчика, които остават често срещани при лошо защитени устройства.

Анализатори от Unit 42 заявиха в доклад, споделен с Cyber Security News (CSN), че са идентифицирали зловредния софтуер като недокументирана досега модулна ботнет рамка с шифрован канал за управление, персонализирана система за експлойти и инфраструктура, предназначена да поддържа DDoS услуги под наем.

Откритието е забележително, тъй като разработчиците изглежда са използвали голям езиков модел (LLM) за изграждането на значителни части от рамката.

Възстановеният изходен код включва непремахнати коментари за безопасност от изкуствения интелект и вътрешни разсъждения, което показва, че генерираният код е бил интегриран с ограничен ръчен преглед.

Рамката комбинира клиентски бот, написан на C, с команден сървър (C2), написан на Go, който може да изгражда злонамерен код за поне 17 процесорни архитектури.

Това позволява на операторите да подготвят зловреден софтуер за устройства, работещи с ARM, MIPS, PowerPC, RISC-V, x86-64 и други платформи, от една единствена среда за разработка.

След като бъде инсталиран, ботът се опитва да остане на устройството чрез маскирана системна услуга, планирани задачи (cron jobs), промени в профила на командния интерпретатор (shell profile), скрити резервни копия, активност на сторожеви таймер (watchdog) и многократно преместване на своя изпълним файл.

Той също така може да маскира името на процеса си и да търси конкурентен зловреден софтуер, като премахва инфекции от конкурентни ботнети от същото устройство.

Авторите са заимствали код и дизайнерски елементи от няколко известни ботнет фамилии и от инструментариума с отворен код MHDDoS.

Това повторно използване следва познат модел в пейзажа на IoT заплахите, където произлизащите от Mirai DDoS ботнети продължават да предоставят на атакуващите бърза основа за изграждане на нови инструменти за атака. Използването на генериран от изкуствен интелект код обаче е оставило и сериозни дефекти във възстановената версия.

Изследователите откриха несъответствие в ключовете за шифроване, което нарушава множество функции, персонализирана виртуална машина за експлойти, която не може да зареди собствените си пакети, и компонент за автентификация, обозначен като Argon2id, който всъщност не прилага Argon2id хеширане на пароли.

Тези дефекти не елиминират опасността. Основните функции на TuxBot, включително атаки с компрометирани пароли, шифрована основна комуникация, персистентност, сканиране и UDP, TCP и DNS наводняване (flooding), са били работещи в анализираните проби.

Изследователите също така предупредиха, че атакуващият може бързо да коригира дефектите, тъй като пълният изходен код вече е на негово разположение.

TuxBot се свързва с главния си сървър чрез шифрована TCP комуникация и може да премине към механизми за генериране на домейни (DGA) и peer-to-peer връзки, ако първичният сървър стане недостъпен.

Сървърът на атакуващия включва панел с достъп през SSH, където потребителите могат да виждат свързаните ботове и да издават команди за атака, което насочва към услуга, предназначена за платени DDoS атаки.

Разработчиците на зловредния софтуер са тествали производителността на атаките чрез среда, базирана на Docker, и са генерирали 254 автоматизирани отчета за бенчмарк, преди пробите да започнат да се появяват публично.

Въпреки че рамката рекламира десетки опции за атака, много уеб-ориентирани методи в анализираната версия са били неправилно пренасочени към по-прости TCP SYN наводнения, оставяйки някои от рекламираните възможности неактивни.

Въпреки това защитниците трябва да третират активните функции като реална заплаха. Организациите трябва да премахнат паролите по подразбиране, да ограничат достъпа до Telnet и отдалечено администриране, да инсталират корекции за сигурност на фърмуера и да изолират IoT устройствата от критичните системи.

Мониторингът на повтарящи се опити за автентификация и необичаен изходящ трафик също може да разкрие устройства, които биват вербувани в ботнет, както се наблюдава и при други атаки на IoT ботнети.

Изследователите свързаха инфраструктурата на TuxBot с по-широка активност на Keksec, Kaitori и AISURU чрез споделен хостинг и артефакти от сертификати. Тази връзка не означава, че инструментът е идентичен с тези фамилии, но показва как операторите могат да използват повторно инфраструктура, докато поддържат отделни бази кодове за зловреден софтуер и кампании.

TuxBot също така илюстрира по-широка промяна в престъпните практики за разработка. Помощта от изкуствен интелект може да ускори писането на код и пренасянето му между платформи, дори когато резултатът е ненадежден.