Исследовательская команда Cydome обнаружила активную кампанию нового варианта ботнета Mirai, получившего обозначение «Broadside». В отличие от предшественников, эта угроза целенаправленно атакует сектор морской логистики, используя уязвимость CVE-2024-3721 в устройствах TBK DVR (Digital Video Recorder), которые широко применяются на судах. Анализ показывает, что злоумышленники преследуют не только цели, связанные с распределёнными атаками типа «отказ в обслуживании» (DDoS), но и пытаются получить доступ к системным учетным данным, что открывает путь к повышению привилегий и перемещению внутри сети.
Описание
Кампания остаётся активной. Специалисты Cydome отслеживают связанную с ней инфраструктуру на протяжении нескольких месяцев, отмечая синхронный рост и спад активности IP-адресов. Изначально вредоносное ПО проникает на целевые устройства через критическую уязвимость удалённого внедрения команд в конечной точке "/device.rsp". Эксплуатация позволяет злоумышленникам выполнить команду, которая загружает и запускает в памяти загрузочный скрипт "mass". Этот скрипт отличается максимальной совместимостью. Он пытается загрузить исполняемые файлы для различных архитектур процессоров, включая ARM, MIPS и x86, используя поочерёдно утилиты "wget", "curl" и "ftpget" для гарантии успеха. После выполнения скрипт немедленно удаляет артефакты с диска, что усложняет обнаружение.
Технически «Broadside» значительно отличается от классических вариантов Mirai. Во-первых, он использует собственный протокол взаимодействия с командным сервером (C2, Command and Control) через порты TCP/1026 и TCP/6969. Каждый пакет содержит уникальную «магическую» сигнатуру "0x36694201". Во-вторых, ботнет применяет продвинутые методы скрытности и обеспечения постоянного присутствия (persistence). Ключевым элементом стал модуль мониторинга процессов, который работает в двух режимах. В приоритетном «умном» режиме он использует сокеты ядра Netlink для получения событий о создании процессов. Этот подход, основанный на событиях, гораздо менее заметен, чем традиционное постоянное сканирование файловой системы. Если Netlink недоступен, модуль переключается в агрессивный «панический» режим, сканируя каталог "/proc" каждые 0.1 секунды.
Особого внимания заслуживает модуль, который исследователи назвали «Судья, присяжные и исполнитель». Его задача - обеспечить эксклюзивный контроль над заражённым устройством. Модуль динамически создаёт чёрные и белые списки исполняемых файлов. Процессы, чьи пути совпадают с чёрным списком, немедленно завершаются, а их бинарные файлы удаляются. Интересно, что логика включает поиск пути с маркером «(deleted)», что характерно для процессов, чей исполняемый файл был удалён с диска - распространённая техника сокрытия среди вредоносного ПО. Таким образом, «Broadside» активно борется с конкурирующими вредоносными программами и потенциально средствами безопасности.
Основная полезная нагрузка (payload) ботнета - это высокопроизводительный генератор UDP-флуда. Модуль создаёт до 32 сокетов, привязывая их к случайным портам-источникам, что осложняет фильтрацию. Для обхода статических систем защиты используется полиморфизм полезной нагрузки: биты в заголовках и данных пакетов инвертируются, создавая несколько вариантов трафика. Однако наиболее тревожным открытием стало то, что «Broadside» пытается получить доступ к файлам с учетными данными системы "/etc/passwd" и "/etc/shadow". Это указывает на вторичную цель кампании - сбор учётных данных для последующего повышения привилегий и горизонтального перемещения по сети. Скомпрометированное устройство превращается из простого бота в стратегический плацдарм для более глубокого вторжения.
Кампания «Broadside» демонстрирует эволюцию угроз на базе Mirai в сторону большей скрытности и многоцелевого воздействия. Её можно отнести к тактикам и техникам, описанным в матрице MITRE ATT&CK. Например, использование нестандартных портов для C2 (T1571), удаление индикаторов с диска (T1070.004), вывод из строя средств защиты через завершение процессов (T1562.001) и сброс учетных данных ОС (T1003.008). Для организаций, особенно в морском секторе, критически важно незамедлительно проверить наличие уязвимых устройств TBK DVR, применить патчи для CVE-2024-3721 и обеспечить строгую сегментацию сетевого периметра, изолируя критическое оборудование от публичного интернета.
Индикаторы компрометации
