Autoridades chinesas prenderam os autores do botnet Mozi
Especialistas da empresa chinesa de segurança da informação Netlab Qihoo 360 relatou que no início deste ano, as autoridades do país prenderam os autores da grande rede de bots Mozi.
A empresa revelou seu envolvimento na investigação e na operação em duas postagens de blog, um dos quais foi publicado em junho e o de outros no início desta semana. Os pesquisadores escrevem que ajudaram a rastrear a infraestrutura do botnet e seus operadores.
Interessantemente, apenas uma semana atrás, Microsoft especialistas relataram sobre um novo Cinema módulo que ajuda os hackers a interferir no tráfego de sistemas infectados usando spoofing de DNS e sequestro de sessões HTTP. Netlab Qihoo 360 especialistas dizem que o módulo fazia parte de um novo conjunto de recursos do Mozi que os operadores de botnet implantaram pouco antes da prisão, junto com um módulo que instala mineradores de criptomoeda em sistemas infectados.
Primeiro visto no 2019, Mozi cresceu rapidamente. Por exemplo, de acordo com para Black Lotus Labs, em abril 2020, o botnet já incluído 15,000 dispositivos infectados.
Mozi espalhou por conta própria: ele infectou um dispositivo e implantou um módulo nele que usou o sistema infectado para pesquisar outros dispositivos conectados à Internet, e, em seguida, usou exploits contra eles e senhas Telnet de força bruta. Este módulo worm usou mais de dez exploits, o que foi o suficiente para o rápido desenvolvimento do botnet.
Mozi também usou o protocolo DHT para criar uma rede P2P entre todos os dispositivos infectados, permitindo que os bots enviem atualizações e instruções de trabalho diretamente uns para os outros, permitindo que ele opere sem um servidor de controle central.
Netlab Qihoo 360 relata que em seu pico, o botnet infectou até 160,000 sistemas por dia e no total conseguiram comprometer mais do que 1,500,000 dispositivos diferentes, mais da metade dos quais (830,000) estavam localizados na China.
Mozi agora prevê um lento “morte”, embora o uso de DHT e P2P torne esse processo e a limpeza de todos os dispositivos infectados uma tarefa difícil.
O recorde citou o especialista em Radware Daniel Smith dizendo que este não é apenas o caso da Mozi. Por exemplo, depois de Hoaxcall botnet foi desativado no início deste ano, especialistas enfrentaram um problema técnico semelhante: bots continuaram a infectar novos dispositivos por vários meses após a operação, agindo por conta própria.
Deixe-me lembrá-lo de que também escrevi que Hackers chineses encobrem seus rastros e removem malware alguns dias antes da detecção.
