Специалист по кибербезопасности из компании Bitsight случайно обнаружил, что его домашняя система видеонаблюдения (NVR) была скомпрометирована и превращена в бота для проведения масштабных DDoS-атак. Этот инцидент привел к раскрытию сложной инфраструктуры ботнета RapperBot, который годами оставался активным, используя уязвимости в устаревших IoT-устройствах.
Описание
Инцидент начался с необычного сообщения «Обновление» на экране монитора, подключенного к NVR. Владелец быстро осознал, что устройство взломано, и провел анализ сетевого трафика с помощью старого 10-Мбит концентратора, который ограничил скорость передачи данных и позволил детально изучить активность. Анализ показал, что NVR участвует в UDP-флуде на порт 80 и сканирует интернет на наличие открытого порта Telnet (23).
Злоумышленники использовали цепочку эксплуатации, включающую уязвимость обхода пути в веб-сервере NVR для кражи учетных данных администратора, включая хэши и открытые пароли. Затем, используя эти данные, они подключались к административному порту 34567 и выполняли команду обновления прошивки, которая монтировала удаленную NFS-шару и запускала вредоносный бинарный файл. Выбор NFS был обусловлен крайне ограниченным набором инструментов в прошивке NVR, где отсутствовали curl, wget и другие стандартные утилиты.
Модифицированная полезная нагрузка позволила исследователю получить доступ к устройству через telnet и изучить его изнутри. Бинарные файлы вредоносного ПО были статически скомпилированы, лишены символов и использовали шифрование строк, что затрудняло анализ. Ключевой находкой стала строка с требованием выкупа в размере 5000 долларов в Monero (XMR) для исключения из ботнета, что впоследствии позволило идентифицировать malware как RapperBot.
Инфраструктура ботнета включала сканеры, серверы распространения вредоносного ПО и центры управления (C2). Для обхода стандартных механизмов DNS использовались домены в зоне .libre, поддерживаемой проектом OpenNIC, что делало их устойчивыми к быстрым блокировкам. Механизм получения адресов C2 основывался на расшифровке TXT-записей DNS с использованием кастомного алгоритма на базе RC4 и преобразования base-56.
Коммуникация между ботами и C2 осуществлялась через зашифрованные пакеты с переменной длиной и простой проверкой контрольной суммы. Ботнет не использовал механизмы persistence, полагаясь на постоянное перезаражение устройств. Это особенно опасно, учитывая сотни тысяч уязвимых IoT-устройств, подключенных к интернету.
Недавние действия правоохранительных органов, включая операцию PowerOff, привели к аресту подозреваемого в США и временному прекращению работы ботнета. Однако проблема остается актуальной: устаревшие устройства продолжают быть легкой мишенью для злоумышленников, а DDoS-атаки остаются одним из самых распространенных видов киберпреступности.
RapperBot демонстрирует, насколько важно обеспечивать безопасность IoT-устройств и своевременно обновлять их прошивки. Без скоординированных усилий со стороны производителей, регуляторов и правоохранительных органов эта проблема будет продолжать усугубляться, создавая риски для стабильности интернета в целом.
Индикаторы компрометации
