NoaBot - Mirai コードをベースにした新たなマルウェア
最近出現した Mirai ベースの NoaBot という名前のボットネットは、2023 年の初めから仮想通貨マイニング キャンペーンで脅威アクターによって使用されています。セキュリティ研究者の Stiv Kupchik 氏のレポートによると、NoaBot は自己拡散ワームなどの機能を備えています。 SSH キー バックドアにより、追加のバイナリのダウンロードと実行、または新たな被害者への伝播が可能になります。
2016 年にソース コードが漏洩した Mirai は、さまざまなボットネットを生み出しましたが、最新のものは分散型サービス拒否 (DDoS) 攻撃を開始できる InfectedSlurs です。 NoaBot は、ルーターや IoT デバイスをターゲットにするために最近更新された P2PInfect として知られる Rust ベースのマルウェア ファミリが関与する別のボットネット キャンペーンに接続している可能性があるという兆候があります。
NoaBot は SSH スキャナーに依存して脆弱性を探します
証拠によると、攻撃者は SSH サーバーに対する最近の攻撃で NoaBot を P2PInfect に置き換える実験を行っており、カスタム マルウェアに移行する潜在的な取り組みを示唆しています。 NoaBot の Mirai 基盤にもかかわらず、そのスプレッダー モジュールは SSH スキャナを採用して辞書攻撃に対して脆弱なサーバーを特定し、ブルート フォース攻撃を行ってリモート アクセス用の SSH 公開キーを追加できるようにします。オプションで、悪用に成功した後、追加のバイナリをダウンロードして実行したり、新たな被害者に拡散したりすることもできます。
特に、NoaBot が他の Mirai ボットネット ベースのキャンペーンより際立っているのは、その亜種にはマイニング プールやウォレット アドレスに関する情報が欠如しており、違法な暗号通貨マイニング スキームの収益性を評価することが困難であるためです。研究者らは、地理的に世界中に分散している 849 の被害者の IP アドレスを特定しましたが、特に中国に集中しており、2023 年のハニーポットに対するすべての攻撃の 10% 近くを占めています。
