Una botnet collegata allo stato cinese è cresciuta fino a 1.500 router compromessi e sta mappando obiettivi vulnerabili entro poche ore dalla divulgazione.

      TL;DRIl botnet JDY collegato alla Cina è cresciuto da 650 a oltre 1.500 dispositivi SOHO compromessi. Scansiona per nuove vulnerabilità entro poche ore e fornisce dati di targeting agli hacker statali. Un botnet segreto collegato a hacker sponsorizzati dallo stato cinese è più che raddoppiato in dimensioni e ora scansiona per vulnerabilità recentemente divulgate entro poche ore dalla pubblicazione. Il botnet JDY comprende oltre 1.500 router, firewall e dispositivi IoT compromessi per piccoli uffici e uffici domestici, secondo una nuova ricerca dei Black Lotus Labs di Lumen. La maggior parte dei nodi infetti si trova negli Stati Uniti e in Brasile. JDY è stato identificato per la prima volta nel dicembre 2023 come un cluster all'interno del KV-botnet, una rete utilizzata dal gruppo di hacker cinese Volt Typhoon. L'FBI ha smantellato il KV-botnet all'inizio del 2024. Ma JDY è sopravvissuto, si è adattato ed è da allora evoluto in quella che i Black Lotus Labs descrivono come una capacità di ricognizione indipendente e ad alte prestazioni. Il botnet non attacca direttamente gli obiettivi. Scansiona, crea impronte e mappa i servizi esposti su larga scala, quindi fornisce i risultati ai gruppi statali cinesi per ulteriori sfruttamenti. I Black Lotus Labs lo definiscono uno "sforzo di ricognizione industrializzato." I dati fluiscono verso server centrali per la raccolta continua di informazioni. Il 💜 della tecnologia dell'UE Gli ultimi rumori dalla scena tecnologica dell'UE, una storia del nostro saggio fondatore Boris e alcune opere d'arte AI discutibili. È gratuito, ogni settimana, nella tua casella di posta. Iscriviti ora! La velocità è notevole. Le catene di attacco sfruttano vulnerabilità recentemente divulgate nei dispositivi edge per compromettere i router e aggiungerli alla rete. Una volta infettati, i bot eseguono probing TCP, SSL, UDP e ICMP ad alto volume. Catturano certificati TLS e metadati dei servizi, quindi riportano ai server di invio. L'obiettivo è la mappatura dell'infrastruttura, non lo sfruttamento. Il botnet è cresciuto da 650 dispositivi a gennaio 2024 a più di 1.500 oggi. Anche la diversità dei dispositivi è aumentata. Dove in precedenza mirava ai router Cisco RV320 e RV325, ora compromette dispositivi di Araknis, Mimosa Networks, Ubiquiti, Draytek, Hikvision e Linksys. Questa diversità è deliberata. Distribuendo la scansione su un'ampia gamma di indirizzi IP, gli operatori evitano che un singolo IP venga segnalato e bloccato. Utilizzare dispositivi SOHO e IoT compromessi aiuta il traffico a mescolarsi con l'attività legittima degli utenti. I dispositivi basati negli Stati Uniti consentono anche agli operatori di eludere il geofencing e i controlli sulla reputazione degli IP. L'architettura è stratificata. Gli operatori gestiscono l'infrastruttura infetta attraverso nodi Tor, inclusi sia server di comando e controllo che server di payload. Il malware adatta il proprio metodo di scansione in base ai privilegi sul dispositivo compromesso. L'accesso root attiva la scansione SYN ad alta velocità con pacchetti personalizzati. Senza root, torna a connessioni TCP e TLS standard. "La disruzione di singoli nodi o cluster non elimina la capacità sottostante," hanno affermato i Black Lotus Labs. "La capacità persiste, si adatta e continua a fornire agli avversari dati di targeting tempestivi, spesso entro poche ore dalla divulgazione della vulnerabilità." Le campagne di hacking statali cinesi hanno una lunga storia di attacco all'infrastruttura statunitense, e il botnet JDY dimostra che l'apparato di ricognizione dietro di esse sta diventando più durevole, non meno. Per i difensori, il messaggio è chiaro. Applicare rapidamente le patch ai dispositivi edge non è più facoltativo. I router e l'hardware IoT che hanno raggiunto la fine della vita sono obiettivi privilegiati. E le difese tradizionali basate su IP sono inefficaci quando il traffico di scansione proviene da migliaia di IP residenziali dall'aspetto legittimo in tutto il paese.