Вирусы в Tor сети, Mirai стал еще мощнее

8 Августа 2019

Новый вариант C&C сервера Mirai, скрывается в Tor сети. Недавно обнаруженная вариация вриуса Mirai IoT, использует C&C (Command and Control) сервер, в сети Tor. С момента, первого обнаружения вируса в далеком октябре 2016 года, злодеи выпустили уже несколько версий, для расширения возможностей таргетинга и сбора как можно большего количества устройств в бот-сети.

Недавно найденная новая версия Mirai, доказывает тот факт, что не смотря, на высокую популярность и повышенное внимание антивирусных компания, вирус продолжает развиваться до сих пор.

Новая итерация вируса, позволяет злоумышленникам получать удаленный доступ к IoT устройствам, используя открытые порты и учетные данные по умолчанию. В последствии, зараженные устройства используются для проведения DDoS атак. Кроме этого, новая версия ботнета, маскирует свои командные серверы в Tor сетях. Большая часть клонов Mirai, могут иметь до 4 C&C серверов.

Специалисты попытались разобраться в устройстве вируса, и обнаружили, что вирус имеет около 30 IP-адресов, к которым он поочередно обращается, отправляя символы «05 01 00». Как выяснилось, такой набор символов используется в качестве команды для установки соединения SOCKS5. Проверив все IP-адреса, удалось выяснить, что это все прокси-серверы, с помощью которых данные переадресовываются на другие серверы в Tor-сети.

Данный вирус, по своему строению, очень похож на другие, принадлежащие к данному семейству вирусов. Mirai, сканирует сеть на доступность 34567 и 9527 портов, которые обычно используют IoT устройства. Далее все просто: вирус перебирает вариации логина и пароля, и в случае удачи, устройство в последствии будет использоваться для совершения DDoS атак.

Современные сканеры уязвимости и антивирусы, могут определять такой вирус по штамму в строке LONGNOSE: applet not found. С такой задачей отлично могут справиться решения от McAfee. Мы рекомендуем, использовать комплексные решения, или устанавливать отдельный софт для всесторонней защиты от спама, проникновения, SQL-инъекций и т.д.

Кроме этого, исследователи смогли обнаружить файловый сервер, на котором хранились еще несколько версий дистрибутива вируса, которые «подготовлены» под разные версии чипсетов.

С 2016 года, модернизированный исходных код, подрос до 13 эксплойтов. Здесь и использование уязвимостей IP-камеры, и уязвимости роутеров, Linux-устройств, IP-камер, фреймворка ThinkPHP, и многое другое.