Chińskie władze aresztowały autorów botnetu Mozi

Eksperci z chińskiej firmy zajmującej się bezpieczeństwem informacji Netlab Qihoo 360 poinformował, że na początku tego roku, władze kraju aresztowały autorów dużego botnetu Mozi.

Firma ujawniła swoje zaangażowanie w śledztwo i operację w dwóch wpisach na blogu, z których jeden został opublikowany w czerwcu, a inny wcześniej w tym tygodniu. Naukowcy piszą, że pomogli śledzić zarówno infrastrukturę botnetu, jak i jego operatorów.

co ciekawe, zaledwie tydzień temu, Microsoft eksperci zgłosili się na Nowy Kino moduł który pomaga hakerom ingerować w ruch zainfekowanych systemów za pomocą fałszowania DNS i przejmowania sesji HTTP. Netlab Qihoo 360 eksperci twierdzą, że moduł był częścią nowego zestawu funkcji Mozi, który operatorzy botnetów wdrożyli na krótko przed aresztowaniem, wraz z modułem instalującym koparki kryptowalut na zainfekowanych systemach.

Pierwszy widziany w 2019, Mozi szybko się rozwinęło. Na przykład, według do Laboratorium Czarnego Lotosu, w kwietniu 2020, botnet już w zestawie 15,000 zainfekowane urządzenia.

Mozi rozprzestrzenia się sam: zainfekował jedno urządzenie i zainstalował na nim moduł, który wykorzystywał zainfekowany system do wyszukiwania innych urządzeń podłączonych do Internetu, a następnie użył przeciwko nim exploitów i haseł Telnet typu brute-force. Ten moduł robaka wykorzystywał ponad dziesięć exploitów, co wystarczyło do szybkiego rozwoju botnetu.

Mozi użył również protokołu DHT do stworzenia sieci P2P między wszystkimi zainfekowanymi urządzeniami, umożliwienie botom wysyłania aktualizacji i instrukcji pracy bezpośrednio do siebie, dzięki czemu może działać bez centralnego serwera sterującego.

Netlab Qihoo 360 donosi, że w szczytowym momencie, botnet zainfekowany do 160,000 systemów dziennie i w sumie udało się naruszyć więcej niż 1,500,000 różne urządzenia, z czego ponad połowa (830,000) znajdowały się w Chinach.

Przewiduje się teraz spowolnienie Mozi “śmierć”, chociaż użycie DHT i P2P sprawia, że ​​ten proces i czyszczenie wszystkich zainfekowanych urządzeń jest trudnym zadaniem.

Rekord zacytował specjalistę Radware, Daniela Smitha, który powiedział, że nie dotyczy to tylko Mozi. Na przykład, po oszustwo botnet został wyłączony na początku tego roku, eksperci napotkali podobny problem techniczny: boty przez kilka miesięcy po operacji nadal infekowały nowe urządzenia, działając na własną rękę.

Przypomnę, że ja też tak napisałem Chińscy hakerzy zacierają ślady i usuwają złośliwe oprogramowanie na kilka dni przed wykryciem.