Ботнет Quad7 расширил свою деятельность, нацелившись на устройства SOHO нескольких брендов, и создал новые вредоносные программы для VPN-устройств Zyxel, беспроводных маршрутизаторов Ruckus и медиасерверов Axentra.
Quad7 Botnet
Исследователи Sekoia составили новый отчет, предупреждающий об эволюции Quad7, которая включает в себя создание новых перевалочных серверов, запуск новых кластеров ботнета, использование новых бэкдоров и обратных оболочек, а также отход от прокси-серверов с открытыми сокетами (SOCKS). Ботнет состоит из нескольких подкластеров, идентифицируемых как варианты *login, каждый из которых нацелен на определенные устройства и показывает разные приветственные баннеры при подключении к порту Telnet. Секойя обнаружил новые бэкдоры, названные «UPDTAE», которые создают обратные оболочки HTTP для удаленного управления на зараженных устройствах. Похоже, что Quad7 переходит от SOCKS к протоколу KERN Communications Protocol (KCP). KCP - это коммуникационный протокол, используемый для передачи атак через новый инструмент под названием 'FsyNet', который обменивается данными по протоколу User Datagram Protocol (UDP). Кроме того, был обнаружен новый двоичный файл 'netd', использующий протокол CJD route2, похожий на darknet, что может послужить экспериментом для будущих атак.
Indicators of Compromise
MD5
- 150d444848a02be230ed9fbf3692d226
- 199045538d9c139f9cf562d5b76a5cd5
- 1b08725acc371f6b7d05bb72d0c2d759
- 22633ef920f0093e3d720e7bbeb9fec8
- 3c4b3d1480952d6ddfe434fef07054f7
- 408152285671bbd0e6e63bd71d6abaaf
- 40b5ac87ff87634c48fdd2cf64ccb66b
- 43ea387b8294cc4d0baaef6d26ff7c72
- 470c6ee61b4314721a8cc9ebafe8fef8
- 4b8e97260d9ef6ca774675be682d9c8c
- 4d9067e7cf517158337123a30a9bd0e3
- 5b0a28631ca106c31e1d5e81d8e25297
- 5efc7d824851be9ec90a97d889a40d23
- 777d6f907da38365924a0c2a12e973c5
- 8542a3cbe232fe78baa0882736c61926
- 92093dd7ba6ae8fe34a215c4c4bd1cd4
- b3b09819f820a4ecd31f82f369000af2
- cdb37db4543dde5ca2bd98a43699828f
- d617f43163cb0f355dbf63058aa82d1d
- e6f6a6de285d7c2361c32b1f29a6c3f6
- f42849076e24b7827218f7a25bc11ccc