Logiciel malveillant SBIDIOT
La prolifération des appareils IoT (Internet des objets) continue de connaître une croissance rapide dans le secteur industriel, en particulier. En tant que tels, les cybercriminels ont trouvé un large nouveau pool de cibles potentielles pour l'infection par des logiciels malveillants. L'une des dernières menaces conçues pour violer spécifiquement les appareils IoT est appelée SBIDIOT Malware.
Comme pour la plupart des menaces IoT, l'objectif principal du SBIDIOT Malware est d'incorporer tous les appareils infectés dans un botnet. Bien que la puissance de calcul des botnets puisse être utilisée de plusieurs manières, la plus importante consiste à lancer des attaques DDoS contre des cibles spécifiques. DDOS signifie déni de service distribué - les appareils du botnet commencent à générer une charge excessive sur le serveur choisi par les pirates, ce qui empêchera les utilisateurs d'accéder à ses services. Une méthode utilisée par SBIDIOT Malware pour la prolifération consiste à exploiter une vulnérabilité RCE (Remote Code Execution) dans les routeurs ZTE.
Fonctionnalité des logiciels malveillants SBIDIOT
L'analyse du code de la menace effectuée par les chercheurs de l'Infosec a révélé que le SBIDIOT Malware est capable d'exécuter un total de 16 commandes reçues du serveur Command-and-Control (C2, C&C) et comparées à une liste de chaînes. L'adresse IP et le port du C2 sont codés en dur dans le binaire de SBIDIOT. La liste complète est: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop, stop.
Sans surprise, presque toutes les actions effectuées par la menace sont liées au lancement d'attaques DDoS via différentes méthodes et arguments requis. Par exemple, la commande HTTPSTOMP est définie via une méthode HTTP, une combinaison hôte / port, la durée de l'attaque et un décompte spécifiant le nombre de fois que les opérations seront répétées. Les commandes HEX, STD, R6, NFO, FN, OVHKILL, NFOKILL et UDPH appellent toutes la même fonction qui nécessite un nom d'hôte, un port et une limite de durée d'attaque. Il commencera alors à générer du trafic UDP avec une charge utile fixe.
Les principales exceptions sont les commandes STOP, Stop et Stop. Lorsqu'ils sont lancés, ils envoient un signal SIGKILL à tous les ID de processus actuellement suivis. Cela permet à l'acteur de la menace de mettre fin immédiatement au processus choisi.
