Software malicioso SBIDIOT
La proliferación de dispositivos IoT (Internet-of-Things) continúa mostrando un rápido crecimiento en el sector industrial, especialmente. Como tal, los ciberdelincuentes han encontrado un nuevo y amplio grupo de objetivos potenciales para la infección de malware. Una de las últimas amenazas diseñadas para violar dispositivos de IoT específicamente se llama SBIDIOT Malware.
Como ocurre con la mayoría de las amenazas de IoT, el objetivo principal del SBIDIOT Malware es incorporar todos los dispositivos infectados en una botnet. Aunque el poder computacional de las botnets se puede utilizar de varias formas diferentes, la más destacada es lanzar ataques DDoS contra objetivos específicos. DDOS significa Distributed Denial of Service: los dispositivos de la botnet comienzan a generar una carga excesiva en el servidor elegido por los piratas informáticos, lo que evitará que los usuarios accedan a sus servicios. Un método que se ha observado que SBIDIOT Malware utiliza para la proliferación es aprovechar una vulnerabilidad RCE (ejecución remota de código) en los enrutadores ZTE.
Funcionalidad de software malicioso SBIDIOT
El análisis del código de la amenaza realizado por los investigadores de infosec reveló que SBIDIOT Malware es capaz de ejecutar un total de 16 comandos recibidos del servidor Command-and-Control (C2, C&C) y comparados con una lista de cadenas. La dirección IP y el puerto del C2 están codificados en el binario de SBIDIOT. La lista completa es: TCP, HTTPSTOMP, VSE, HEX, STD, VOX, NFO, UDP, UDPH, R6, FN, OVHKILL, NFOKILL, STOP, Stop, stop.
No es sorprendente que casi todas las acciones realizadas por la amenaza estén relacionadas con el lanzamiento de ataques DDoS a través de diferentes métodos y argumentos requeridos. Por ejemplo, el comando HTTPSTOMP se define mediante un método HTTP, combinación de host / puerto, duración del ataque y un recuento que especifica cuántas veces se repetirán las operaciones. Los comandos HEX, STD, R6, NFO, FN, OVHKILL, NFOKILL y UDPH todos llaman a la misma función que necesita un nombre de host, un puerto y un límite en la duración del ataque. Luego comenzará a generar tráfico UDP con una carga útil fija.
Las principales excepciones son los comandos STOP, Stop y Stop. Cuando se inician, envían una señal SIGKILL a todos los ID de proceso que se están rastreando en este momento. Esto permite al actor de la amenaza terminar el proceso elegido de inmediato.
