¿Quién mató a Mozi? Finalmente poner fin a la botnet zombi de IoT

investigación de ESET

Cómo ESET Research descubrió un interruptor de apagado que acabó con una de las botnets más prolíficas

01 de noviembre de 2023
•
,
3 minutos. leer

En agosto de 2023, la infame botnet Mozi, conocida por explotar vulnerabilidades en cientos de miles de dispositivos IoT cada año, experimentó una caída repentina e inesperada en su actividad. Observado por primera vez en India el 8 de agosto.^Th2023 y una semana después en China el 16 de agosto.^ThEsta misteriosa desaparición dejó a los robots de Mozi despojados en gran medida de su funcionalidad.

Nuestra investigación sobre este evento nos llevó al descubrimiento de un interruptor de apagado el 27 de septiembre.^Th, 2023. Descubrimos la carga útil de control (archivo de configuración) en un mensaje del Protocolo de datagramas de usuario (UDP) que carecía de la encapsulación típica del protocolo Distributed Sloppy Hash Table (BT-DHT) de BitTorrent. La persona detrás de la eliminación envió la carga útil de control ocho veces, cada vez indicando al bot que descargara e instalara una actualización de sí mismo a través de HTTP.

El interruptor de apagado demostró varias características que incluyen:

• Matar el proceso principal, es decir, el malware Mozi original,
• Deshabilitar algunos servicios del sistema como sshd y dropbear,
• Reemplazando el archivo Mozi original consigo mismo,
• Ejecutando algunos comandos de configuración de enrutador/dispositivo,
• Deshabilitar el acceso a varios puertos (iptables -j SOLTAR), Y
• Establecer el mismo estado que el archivo Mozi original reemplazado

Identificamos dos versiones de la carga útil de control, y la última actúa como un sobre que contiene la primera con cambios menores como: B. agregar una función para hacer ping a un servidor remoto, que probablemente tenía fines estadísticos.

A pesar de la drástica reducción de la funcionalidad, los bots de Mozi se mantuvieron persistentes, lo que sugiere una eliminación deliberada y calculada. Nuestro análisis del interruptor de apagado muestra una fuerte conexión entre el código fuente original de la botnet y los archivos binarios utilizados recientemente, así como el uso de las claves privadas correctas para firmar la carga útil de control (consulte la Figura 2).

Esto nos lleva a plantear la hipótesis de que hay dos posibles autores de este cierre: los creadores de la botnet Mozi o las fuerzas del orden chinas que obligan a los creadores a cooperar. Los ataques consecutivos a bots en India y luego en China sugieren que el cierre fue deliberado: un país fue atacado primero y el otro una semana después.

La desaparición de una de las botnets de IoT más prolíficas es un caso fascinante de ciencia forense cibernética y nos proporciona información técnica fascinante sobre cómo se crean, operan y desmantelan dichas botnets en la naturaleza. Seguimos investigando este caso y publicaremos un análisis detallado en los próximos meses. Pero por ahora la pregunta sigue siendo: ¿quién mató a Mozi?

Si tiene alguna pregunta sobre nuestra investigación publicada en WeLiveSecurity, contáctenos en [email protected].
ESET Research proporciona informes de inteligencia y fuentes de datos privados de APT. Si tiene alguna pregunta sobre este servicio, visite Inteligencia de amenazas de ESET Página.

COI

archivos

red

Técnicas MITRE ATT&CK

Esta tabla fue creada con Versión 13 del marco MITRE ATT&CK.