Yeni Go Tabanlı Zerobot Botnet, Ağını Genişletmek İçin Düzinelerce IoT Güvenlik Açığından Yararlanıyor

 

Zerobot adı verilen Go tabanlı yeni bir botnet, nesnelerin interneti (IoT) cihazlarındaki ve diğer yazılımlardaki yaklaşık iki düzine güvenlik açığından yararlanarak çoğalırken gözlemlendi.

Fortinet FortiGuard Labs araştırmacısı Cara Lin, botnet'in "kendi kendini çoğaltma, farklı protokollere yönelik saldırılar ve kendi kendine yayılma dahil olmak üzere çeşitli modüller içerdiğini" söyledi. "Ayrıca WebSocket protokolünü kullanarak komuta ve kontrol sunucusuyla iletişim kuruyor."

Kampanya, 18 Kasım 2022'den sonra başladığı söylenen, savunmasız cihazların kontrolünü ele geçirmek için öncelikle Linux işletim sistemini seçiyor.

Zerobot adını, mikro mimari uygulamasına bağlı olarak (örneğin, "zero.arm64") bir ana bilgisayara erişim sağladıktan sonra kötü amaçlı yükü almak için kullanılan bir yayılma komut dosyasından alıyor.

Kötü amaçlı yazılım i386, amd64, arm, arm64, mips, mips64, mips64le, mipsle, ppc64, ppc64le, riscv64 ve s390x gibi çok çeşitli CPU mimarilerini hedef alacak şekilde tasarlanmıştır.

Zerobot'un bugüne kadar iki versiyonu tespit edilmiştir: Bunlardan biri 24 Kasım 2022'den önce kullanılan ve temel işlevlere sahip olan, diğeri ise 21 açık kullanarak diğer uç noktaları ihlal etmek için kendi kendine yayılan bir modül içeren güncellenmiş bir varyanttır.

Bunlar arasında TOTOLINK yönlendiricileri, Zyxel güvenlik duvarları, F5 BIG-IP, Hikvision kameraları, FLIR AX8 termal görüntüleme kameraları, D-Link DNS-320 NAS ve Spring Framework'ü etkileyen güvenlik açıkları bulunmaktadır.

Zerobot, ele geçirilen makinede başlatıldıktan sonra, uzaktaki bir komuta ve kontrol (C2) sunucusuyla bağlantı kurar ve TCP, UDP, TLS, HTTP ve ICMP gibi farklı ağ protokolleri için keyfi komutlar çalıştırmasına ve saldırılar başlatmasına olanak tanıyan daha fazla talimat bekler.

Lin, "Çok kısa bir süre içinde, tespit edilmesini zorlaştıran ve daha fazla cihaza bulaşmasını sağlayan dize gizleme, bir kopya dosya modülü ve bir yayılma istismar modülü ile güncellendi" dedi.

thehackernews'dan alıntıdır.