Gayfemboy je moderní varianta botnetu odvozeného od malwaru Mirai, která se od roku 2024 zaměřuje především na routery, průmyslové modemy a další IoT zařízení. Útočníci kombinují známé zranitelnosti (N‑day) i dosud neopravené chyby (0‑day) k převzetí kontroly nad napadenými systémy. Botnet je využíván zejména k provádění distribuovaných útoků typu DDoS, těžbě kryptoměn a dalšímu šíření malwaru v napadených sítích.

Historie Malware se šíří především prostřednictvím nezabezpečených síťových služeb, zejména protokolu Telnet, a dále aktivním zneužíváním chyb ve firmwaru routerů a průmyslových modemů. Útočníci systematicky skenují internetový prostor a následně zneužívají slabá autentizační schémata nebo chyby ve webových administračních rozhraních zařízení značek Four‑Faith, DrayTek, TP‑Link a Raisecom, což jim umožňuje vzdálené spuštění příkazů bez nutnosti platné autentizace.

Mechanismus fungování

Infekční vektor Malware se šíří především prostřednictvím nezabezpečených služeb, zejména Telnetu, a také zneužíváním chyb ve firmwaru routerů a modemů. Mezi známé zranitelnosti, které jsou tímto malwarem aktivně zneužívány, patří například vzdálené spuštění příkazů u routerů Four-Faith nebo chyby v autentizaci a webových rozhraních zařízení značek DrayTek, TP-Link a Raisecom.

Zneužívané zranitelnosti (CVE) Botnet využívá kombinaci starých i nových zranitelností, které umožňují vzdálené spuštění kódu, obejití autentizace nebo převzetí routeru. Jedná se o tyto CVE:

CVE-2024-12856: 0-day chyba v routerech Four-Faith umožňující vzdálené spuštění příkazů bez autentizace. Útočník může okamžitě převzít kontrolu nad zařízením.

CVE-2013-3307: Starší RCE zranitelnost v síťových produktech. Umožňuje odeslání speciálně formovaného požadavku a spuštění kódu na dálku.

CVE-2014-8361: Zranitelnost v embedded routerech umožňující neautorizované spouštění příkazů přes webové rozhraní.

CVE-2016-20016: Bezpečnostní chyba umožňující přetečení bufferu a následné spuštění libovolného kódu útočníka.

CVE-2017-17215: Chyba v Huawei routerech dovolující RCE prostřednictvím slabého ověřování vstupů v UPnP službě.

CVE-2017-5259: Zranitelnost umožňující obejít přístupové mechanismy a vložit vlastní příkazy do systému.

CVE-2020-25499: Chyba v různých IoT zařízeních umožňující vzdálenou exekuci díky špatné validaci požadavků.

CVE-2020-9054: Závažná RCE zranitelnost, ke které dochází kvůli chybě v parseru vstupů ve firmwaru routerů.

CVE-2021-35394: Zranitelnost v webovém rozhraní routerů Tenda, umožňuje útočníkovi spustit své příkazy bez autentizace.

CVE-2023-26801: Novější chyba, která umožňuje obejití autentizace a vzdálené převzetí zařízení.

CVE-2024-8956 & CVE-2024-8957: Dvojice chyb v chytrých IoT zařízeních – útočník dokáže spustit libovolný kód a obejít bezpečnostní mechanismy.

Downloader skripty Součástí útoku jsou specializované shell skripty, které po úspěšném průniku vypínají bezpečnostní mechanismy operačního systému, například SELinux, a následně slouží ke stažení hlavního binárního souboru malwaru. Charakteristickým rysem kampaně Gayfemboy je, že názvy downloader skriptů odpovídají konkrétním výrobcům nebo platformám (např. asus, zyxel, realtek), přičemž tyto identifikátory jsou dále předávány samotnému malwaru jako parametr při jeho spuštění. Downloader může kromě botnetového klienta doručovat také těžař kryptoměn XMRig.

Architektura malwaru a moduly Gayfemboy zachovává základní architekturu Mirai, avšak výrazně ji rozšiřuje o další funkční moduly. Malware je obvykle rozdělen do čtyř hlavních částí: Monitor, Watchdog, Attacker a Killer. Modul Monitor zajišťuje dohled nad procesy v systému, vyhledává stopy konkurenčního malwaru a snaží se zabránit odhalení v analytickém nebo sandboxovém prostředí. Watchdog kontroluje běh samotného malwaru a zajišťuje, aby v systému nebylo spuštěno více instancí současně. Modul Attacker slouží k provádění DDoS útoků a zajištění komunikace s řídicí infrastrukturou, zatímco Killer odstraňuje jiné škodlivé procesy, čímž botnet získává exkluzivní kontrolu nad napadeným zařízením.

Perzistence Perzistence malwaru Gayfemboy je zajištěna kombinací několika mechanismů, jejichž cílem je udržet malware dlouhodobě aktivní a zároveň ztížit jeho analýzu. Klíčovým prvkem je watchdog modul, který neustále dohlíží na běh malwaru, zajišťuje, aby na zařízení existovala pouze jedna jeho instance, a v případě pádu nebo ukončení proces automaticky znovu spustí. Součástí perzistence je také anti-analytické chování pokud malware detekuje sandbox nebo jiné analyzační prostředí, pozastaví svou aktivitu až na 27 hodin, čímž výrazně komplikuje statickou i dynamickou analýzu. Na perzistenci se podílí i modul Monitor, který sleduje prostředí systému, brání zásahům do malwaru a pomáhá udržovat jeho nepřetržitý běh.

Rozsah kampaně Mezi zasažené země patří Brazílie, Německo, Francie, Izrael, Mexiko, Švýcarsko, Spojené státy, Vietnam a další. Malware zasahuje především sektory výroby, technologií, stavebnictví a médií a komunikace. Velikost botnetu dosahovala v listopadu 2024 až přibližně 15 000 aktivních zařízení denně.

Nebezpečnost Gayfemboy představuje významnou hrozbu zejména proto, že dokáže okamžitě spustit masivní DDoS útoky, velmi rychle se adaptuje a získává nové exploity, a navíc cílí na IoT zařízení, která bývají často neaktualizovaná a špatně zabezpečená. Mezi doporučená obranná opatření patří pravidelná aktualizace firmwaru na všech routerech a IoT zařízeních, vypnutí Telnetu a přechod na bezpečnější protokoly jako SSH či HTTPS, omezení administrace zařízení pouze na interní síť nebo VPN, aktivní monitorování provozu se zaměřením na podezřelé DNS dotazy, komunikaci na UDP portu 47272 a krátké DDoS špičky, a také používání endpoint ochrany s blokováním známého či podezřelého malwaru pomocí reputačních služeb.

Reference

Kategorie:Malware Kategorie:Vzniklo 2024