RUBYCARP Botnet Tillskriven rumänsk hotskådespelare

En cyberhotgrupp som misstänks vara av rumänskt ursprung, känd som RUBYCARP, har observerats som driver ett beständigt botnät för att delta i olika olagliga aktiviteter, inklusive kryptomining, distribuerade denial-of-service-attacker (DDoS) och nätfiske.

Denna grupp, som tros ha varit aktiv i minst ett decennium, använder botnätet främst för ekonomisk vinning, som rapporterats av Sysdig och delas med The Hacker News. Deras arbetssätt involverar att distribuera ett botnät genom en rad offentliga utnyttjande och brute-force-taktik och att kommunicera genom både offentliga och privata IRC-nätverk.

Bevis tyder på att RUBYCARP kan överlappa med en annan hotenhet som spåras av det albanska cybersäkerhetsföretaget Alphatechs, identifierat som Outlaw. Outlaw har en historia av att engagera sig i kryptomining och brute-force-attacker men har nyligen flyttat fokus mot nätfiske- och spjutfiskekampanjer.

RUBYCARP fokuserar på nätfiske som initial attackvektor

Dessa nätfiske-strävanden syftar till att lura offer att avslöja känslig information som inloggningsuppgifter eller ekonomisk data, enligt säkerhetsforskaren Brenton Isufi.

En anmärkningsvärd aspekt av RUBYCARPs metoder är deras användning av ShellBot (även känd som PerlBot) skadlig programvara för att infiltrera målmiljöer. De utnyttjar också sårbarheter i Laravel Framework, en taktik som delas med andra hotaktörer som AndroxGh0st.

För att utöka deras botnäts räckvidd har RUBYCARP observerats kompromissa med WordPress-webbplatser med vanliga kombinationer av användarnamn och lösenord. När man väl har fått åtkomst installerar de en bakdörr baserad på den populära Perl ShellBot, som ansluter offrets server till en Internet Relay Chat-server (IRC) som fungerar som kommando-och-kontroll.

Botnätet, som beräknas omfatta över 600 värdar, är starkt beroende av IRC för kommunikation och koordinering av kryptominingkampanjer. Dessutom kommunicerar medlemmar i gruppen genom en Undernet IRC-kanal som heter #cristi och använder ett massscanningsverktyg för att identifiera potentiella nya värdar.

RUBYCARP:s framväxt i cyberhotslandskapet understryker deras skicklighet i att utnyttja botnätet för olika olagliga aktiviteter, inklusive kryptomining och nätfiske som syftar till att stjäla känslig information som kreditkortsnummer.