Группа хакеров возобновила активность ботнета MooBot, который демонстрирует сложные техники обфускации и целенаправленные атаки на инфраструктуру России. Согласно данным мониторинга, с 10 сентября 2025 года злоумышленники провели серию обновлений вредоносного ПО и организовали масштабные DDoS-атаки.
Описание
MooBot, появившийся в 2019 году как вариант ботнета Mirai, претерпел значительные изменения. Изначально он использовал характерные строки типа "The cow says moo" и файлы с расширением .moopid для предотвращения повторного запуска. Однако к 2021 году malware перешел на генерацию случайных строк с использованием сида w5q6he3dbrsgmclkiu4to18npavj702f. Данный признак регулярно фиксируется в ходе наблюдений.
Особый интерес представляет эволюция механизмов взаимодействия с C2-серверами. В майских образцах 2025 года обнаружилась сложная система установки соединения. Критически важным элементом стала проверка контрольной суммы, где часть данных в памяти специально не инициализировалась. Такой подход, обычно считающийся программной ошибкой, здесь использовался для усложнения анализа. Конкретно, неинициализированная область памяти содержала фрагменты IP-адресов C2-серверов, что требовалось для корректного расчета checksum. Впоследствии этот сложный механизм был отключен, но код сохранился в измененной форме.
Примечательно взаимодействие MooBot с конкурирующим вредоносным ПО RapperBot. Анализ показал, что MooBot содержит специальные функции для устранения конкурентов. Наиболее значимой стала возможность обнаружения и принудительного завершения процессов, установивших соединение с C2-серверами RapperBot. После нейтрализации конкурирующего malware MooBot отправлял отчет на специальный сервер с идентификатором 5, что явно указывало на захват зараженных устройств. Мотивы таких действий остаются неясными - это могла быть как вражда между группировками, так и внутренний процесс миграции внутри одной группы.
Географическая направленность атак оказалась выраженной. Мониторинг с 10 сентября по 6 октября 2025 года показал, что основной мишенью стала Россия. Особенно выделялись атаки на сервисы TeamSpeak3, использующие специализированные векторы атак через UDP-пакеты. Распределение атак по времени суток явно соответствовало активности в определенных часовых поясах.
Оценка масштабов заражения основана на анализе временно открытых логов серверов загруки. Согласно этим данным, в сентябре насчитывалось около 3160 зараженных устройств. При этом использовалась сложная система смены портов и параметров для разных типов устройств, что затрудняет точную оценку общего количества жертв. Важно отметить, что в статистике отсутствуют устройства с параметрами, характерными для атак на Langflow-серверы через уязвимость CVE-2025-3248, что указывает на специализацию данной кампании на DVR и маршрутизаторах.
Лингвистические особенности в коде, включая комментарии на русском языке, свидетельствуют о возможном участии русскоязычных разработчиков. Это коррелирует с географией атак и временем активности ботнета.
Эпизод активной разработки и экспериментов продолжался около месяца. За этот период было выпущено более десяти обновлений malware с постоянно меняющейся спецификацией. В конечном итоге 7 октября 2025 года активность MooBot прекратилась, а инфраструктура переключилась на другой malware, использующий схожие C2-серверы, но разные порты. Новый вредонос использовал технику маскировки процессов через монтирование /proc/self в /proc/1, аналогично MountBot, однако функциональность DDoS-атак в нем отсутствовала, что указывает на раннюю стадию разработки.
Короткий период активности и экспериментальный характер многих функций позволяют предположить, что кампания могла быть этапом разработки или тестирования, а не полноценной коммерческой эксплуатацией DDoS-сервиса. Тем не менее, наблюдаемая эволюция MooBot демонстрирует продолжающуюся адаптацию IoT-ботнетов и усложнение их механизмов противодействия анализу.
Индикаторы компрометации
