В середине марта специалисты FortiGuard Labs обнаружили новый DDoS-ботнет под названием Enemybot, который приписывается группе хакеров Keksec, известной своей активностью в сфере криптомайнинга и распределённых атак типа "отказ в обслуживании" (DDoS). Этот ботнет представляет собой серьёзную угрозу для сетевой инфраструктуры, так как он активно эксплуатирует уязвимости в популярных маршрутизаторах и серверах, включая устройства Seowon Intech, D-Link и iRZ.
Описание
Enemybot построен на основе исходного кода другого известного ботнета - Gafgyt, однако разработчики добавили в него модули из кода Mirai, что делает его более гибким и опасным. Для затруднения анализа и маскировки от других ботнетов Enemybot использует несколько методов обфускации строк, включая XOR-кодировку с многобайтовым ключом, однобайтовое XOR-кодирование в стиле Mirai, а также подстановочные шифры. Кроме того, его командный сервер (C2) скрыт в сети Tor, что значительно усложняет его обнаружение и нейтрализацию.
Одной из ключевых особенностей Enemybot является его способность заражать не только устройства интернета вещей (IoT), но и серверные и настольные системы, включая macOS и x64-архитектуры. Это расширяет зону поражения и увеличивает потенциальный масштаб атак. Ботнет уже был замечен в эксплуатации нескольких свежих уязвимостей, включая CVE-2022-27226 в маршрутизаторах iRZ, которая была обнародована всего за несколько дней до начала его активности. Это свидетельствует о высокой оперативности злоумышленников, которые оперативно интегрируют новые эксплойты в свой арсенал.
Среди других уязвимостей, используемых Enemybot, можно выделить CVE-2020-17456 (маршрутизаторы Seowon), CVE-2018-10823 (D-Link), CVE-2022-25075-25084 (TOTOLINK), а также критические уязвимости в Apache (CVE-2021-41773/42013) и Log4j (CVE-2021-44228/45046). Кроме того, ботнет эксплуатирует старые, но до сих пор не исправленные уязвимости в устройствах NETGEAR, Zyxel и Zhone, что делает его особенно опасным для организаций, использующих устаревшее оборудование.
Эксперты FortiGuard Labs отмечают, что Enemybot демонстрирует тенденцию к постоянному обновлению и адаптации, что характерно для современных киберугроз. Использование Tor для скрытия C2-сервера, а также применение сложных методов обфускации позволяют ботнету оставаться незамеченным в течение длительного времени. В связи с этим компаниям, использующим уязвимые устройства, рекомендуется как можно скорее установить последние обновления безопасности, а также усилить мониторинг сетевой активности для выявления подозрительных подключений.
Учитывая активность группы Keksec и их опыт в создании ботнетов, можно ожидать, что Enemybot продолжит развиваться и станет ещё более опасным инструментом для проведения масштабных DDoS-атак. Владельцам корпоративных и домашних сетей необходимо быть особенно бдительными и принимать меры по защите своих устройств от возможного заражения.
Индикаторы компрометации
