Investigación de ESET

Cómo ESET Research encontró un interruptor de apagado que se había utilizado para acabar con una de las botnets más prolíficas que existen

Noviembre 01 2023  •  , 3 minuto. leer

En agosto de 2023, la famosa botnet Mozi, famosa por explotar vulnerabilidades en cientos de miles de dispositivos IoT cada año, experimentó una caída repentina e inesperada en su actividad. Observado por primera vez en India el 8 de agosto.^thde 2023 y una semana después en China el 16 de agosto.^th, esta misteriosa desaparición despojó a los robots Mozi de la mayor parte de su funcionalidad.

Nuestra investigación sobre este evento nos llevó al descubrimiento de un interruptor de apagado el 27 de septiembre.^th, 2023. Detectamos la carga útil de control (archivo de configuración) dentro de un mensaje de protocolo de datagramas de usuario (UDP) al que le faltaba la encapsulación típica del protocolo de tabla hash descuidada distribuida (BT-DHT) de BitTorrent. La persona detrás de la eliminación envió la carga útil de control ocho veces, cada vez indicando al robot que descargara e instalara una actualización de sí mismo a través de HTTP.

El interruptor de apagado demostró varias funcionalidades, que incluyen:

• matar el proceso principal, es decir, el malware Mozi original,
• deshabilitar algunos servicios del sistema como sshd y dropbear,
• reemplazando el archivo Mozi original por sí mismo,
• ejecutar algunos comandos de configuración del enrutador/dispositivo,
• deshabilitar el acceso a varios puertos (iptables -j SOLTAR), o
• estableciendo el mismo punto de apoyo que el archivo Mozi original reemplazado

Identificamos dos versiones de la carga útil de control, y la última funciona como un sobre que contiene la primera con modificaciones menores, como agregar una función para hacer ping a un servidor remoto, probablemente con fines estadísticos.

A pesar de la drástica reducción de la funcionalidad, los bots de Mozi han mantenido su persistencia, lo que indica una eliminación deliberada y calculada. Nuestro análisis del interruptor de apagado muestra una fuerte conexión entre el código fuente original de la botnet y los binarios usados ​​recientemente, y también el uso de las claves privadas correctas para firmar la carga útil de control (ver Figura 2).

Esto nos lleva a la hipótesis que sugiere dos posibles autores de esta eliminación: los creadores de la botnet Mozi o las fuerzas del orden chinas que obligan a los creadores a cooperar. El ataque secuencial a bots en India y luego en China sugiere que el derribo se llevó a cabo deliberadamente, con un país atacado primero y el otro una semana después.

La desaparición de una de las botnets de IoT más prolíficas es un caso fascinante de ciberforense, que nos proporciona información técnica intrigante sobre cómo se crean, operan y desmantelan dichas botnets en la naturaleza. Seguimos investigando este caso y publicaremos un análisis detallado en los próximos meses. Pero por ahora la pregunta sigue siendo: ¿quién mató a Mozi?

Para cualquier consulta sobre nuestra investigación publicada en WeLiveSecurity, contáctenos en amenazaintel@eset.com.
ESET Research ofrece fuentes de datos e informes de inteligencia APT privados. Para cualquier consulta sobre este servicio, visite el Inteligencia de amenazas de ESET .

IoC

archivos

Nuestra red

Técnicas MITRE ATT & CK

Esta tabla fue construida usando Versión 13 del marco MITRE ATT & CK.