NoaBot - een nieuwe malware gebaseerd op Mirai-code

Een onlangs opgekomen botnet met de naam NoaBot, gebaseerd op Mirai, wordt sinds begin 2023 door bedreigingsactoren ingezet in een cryptomining-campagne. Volgens een rapport van beveiligingsonderzoeker Stiv Kupchik beschikt NoaBot over functies zoals een zichzelf verspreidende worm en een SSH-sleutelachterdeur, die het downloaden en uitvoeren van extra binaire bestanden of de verspreiding naar nieuwe slachtoffers mogelijk maakt.

Mirai, waarvan de broncode in 2016 is gelekt, heeft aanleiding gegeven tot verschillende botnets, waarvan de laatste InfectedSlurs is, die gedistribueerde denial-of-service (DDoS)-aanvallen kunnen lanceren. Er zijn aanwijzingen dat NoaBot mogelijk verbindingen heeft met een andere botnetcampagne waarbij een op Rust gebaseerde malwarefamilie betrokken is, bekend als P2PInfect, die onlangs is bijgewerkt om routers en IoT-apparaten te targeten.

NoaBot vertrouwt op SSH-scanner om naar kwetsbaarheden te zoeken

Er zijn aanwijzingen dat bedreigingsactoren hebben geëxperimenteerd met het vervangen van NoaBot door P2PInfect bij recente aanvallen op SSH-servers, wat duidt op mogelijke pogingen om over te stappen op aangepaste malware. Ondanks de Mirai-basis van NoaBot maakt de spreadermodule gebruik van een SSH-scanner om servers te identificeren die kwetsbaar zijn voor woordenboekaanvallen, waardoor het brute force kan gebruiken en een openbare SSH-sleutel kan toevoegen voor externe toegang. Optioneel kan het extra binaire bestanden downloaden en uitvoeren na succesvolle exploitatie of zich verspreiden naar nieuwe slachtoffers.

NoaBot onderscheidt zich met name van andere op het Mirai-botnet gebaseerde campagnes omdat de variant informatie mist over de miningpool of het portemonnee-adres, waardoor het een uitdaging is om de winstgevendheid van het illegale cryptocurrency-miningprogramma te beoordelen. Onderzoekers hebben 849 IP-adressen van slachtoffers geïdentificeerd, geografisch verspreid over de hele wereld, met een aanzienlijke concentratie in China, goed voor bijna 10% van alle aanvallen op zijn honeypots in 2023.