NoaBot – eine neue Malware basierend auf Mirai-Code
Ein kürzlich entstandenes Botnetz namens NoaBot, das auf Mirai basiert, wird seit Anfang 2023 von Bedrohungsakteuren in einer Krypto-Mining-Kampagne eingesetzt. Einem Bericht des Sicherheitsforschers Stiv Kupchik zufolge verfügt NoaBot über Funktionen wie einen sich selbst verbreitenden Wurm und eine SSH-Schlüssel-Hintertür, die das Herunterladen und Ausführen zusätzlicher Binärdateien oder die Weitergabe an neue Opfer ermöglicht.
Mirai, dessen Quellcode im Jahr 2016 durchgesickert ist, hat zur Entstehung verschiedener Botnets geführt, zuletzt InfectedSlurs, das in der Lage ist, DDoS-Angriffe (Distributed Denial of Service) zu starten. Es gibt Hinweise darauf, dass NoaBot möglicherweise Verbindungen zu einer anderen Botnet-Kampagne hat, an der eine Rust-basierte Malware-Familie namens P2PInfect beteiligt ist, die kürzlich aktualisiert wurde, um auf Router und IoT-Geräte abzuzielen.
NoaBot verlässt sich bei der Suche nach Schwachstellen auf den SSH-Scanner
Es gibt Hinweise darauf, dass Bedrohungsakteure bei den jüngsten Angriffen auf SSH-Server damit experimentiert haben, NoaBot durch P2PInfect zu ersetzen, was auf mögliche Versuche hindeutet, auf benutzerdefinierte Malware umzusteigen. Trotz der Mirai-Basis von NoaBot verwendet sein Spreader-Modul einen SSH-Scanner, um Server zu identifizieren, die für Wörterbuchangriffe anfällig sind, und ermöglicht so Brute-Force-Angriffe und das Hinzufügen eines öffentlichen SSH-Schlüssels für den Fernzugriff. Optional kann es nach erfolgreicher Ausnutzung weitere Binärdateien herunterladen und ausführen oder sich auf neue Opfer ausbreiten.
NoaBot hebt sich insbesondere dadurch von anderen Mirai-Botnet-basierten Kampagnen ab, dass seiner Variante Informationen über den Mining-Pool oder die Wallet-Adresse fehlen, was es schwierig macht, die Rentabilität des illegalen Kryptowährungs-Mining-Programms zu beurteilen. Forscher haben 849 IP-Adressen der Opfer identifiziert, die geografisch über die ganze Welt verteilt sind, mit einer erheblichen Konzentration in China, die im Jahr 2023 für fast 10 % aller Angriffe auf seine Honeypots verantwortlich sind.
