Gayfemboy — це різновид шкідливого програмного забезпечення, який заражає корпоративну електроніку, зокрема пристрої компаній DrayTek, TP-Link, Raisecom та Cisco, використовуючи відомі уразливості (CVE). Він уразив компанії у Бразилії, Франції, Німеччині, Ізраїлі, Мексиці, США, Швейцарії та Вʼєтнамі, впливаючи на такі сектори, як будівництво, виробництво, технології та медіа/комунікації.
Історія Шкідливе програмне забезпечення вперше було виявлено у лютому 2024 року дослідниками з Fortinet після серії атак у січні, коли Gayfemboy використовував заражені пристрої як ботнет для запуску хвилі DDoS-атак на цільові вебсайти.
Відомі зразки наразі були обфусковані за допомогою пакувальника UPX, однак його заголовок «UPX!» було замінено на непечатні символи у шістнадцятковому коді «10 F0 00 00», що ускладнює виявлення. Після запуску шкідник перевіряє шляхи процесів у каталозі «/proc/[PID]/exe», щоб зібрати інформацію про активні процеси та їхнє розташування у файловій системі. У пам’ять завантажується 47 командних рядків, після чого програма аналізує всі записи у «/proc/[PID]/cmdline». Якщо знайдено збіг, відповідний процес завершується. До команд належать «ls -l», «reboot», «wget» тощо.
Модуль моніторингу використовується для самозбереження та виявлення пісочниць. Якщо Gayfemboy виявляє, що процес шкідника завершено, він ініціює його перезапуск. Завдяки затримці у 50 наносекунд, шкідник здатний визначити, чи працює у пісочниці — оскільки такі середовища не можуть обробити настільки точну затримку. У результаті функція виклику не спрацьовує, і програма «неправильно інтерпретує» результат, переходячи у 27-годинний режим бездіяльності.
Інфекції та цілі, на які спрямоване це зловмисне програмне забезпечення, подібні до шкідливого коду Mirai і охоплюють різні системні архітектури, зокрема ARM, AArch64, MIPS R3000, PowerPC і Intel 80386. Шкідлива програма Gayfemboy відстежує потоки та процеси, використовуючи техніки забезпечення постійності, уникнення пісочниць, прив’язується до UDP-порту 47272, здійснює DDoS-атаки з використанням протоколів UDP, TCP і ICMP, а також забезпечує віддалений доступ до системи, отримуючи команди з сервера. Програма самостійно завершує роботу, якщо отримує відповідну команду або виявляє маніпуляції в пісочниці. Основна атака полягає у пошуку неавторизованих серверів Redis, що працюють на порту 6379. Далі здійснюється виконання легітимних команд CONFIG, SET і SAVE для створення шкідливого завдання cron, яке запускає оболонковий скрипт. Цей скрипт вимикає SELinux, реалізує заходи уникнення виявлення, блокує зовнішній доступ до порту Redis, щоб не допустити використання шляху вторгнення конкурентами, та завершує роботу конкуруючих процесів майнінгу (наприклад, Kinsing).
Ботнет Gayfemboy, вперше виявлений у лютому 2024 року, використовував складні стратегії, зокрема експлуатацію zero-day-вразливостей для проникнення у пристрої. Станом на листопад 2024 року ботнет розширив масштаб діяльності, зосередившись на промислових маршрутизаторах і пристроях «розумного дому» та налічував понад 15 000 активних вузлів. Оператори Gayfemboy також здійснювали DDoS-атаки проти дослідників, які відстежували їхню діяльність. Шкідлива програма використовує унікальні методи найменування файлів і обфускації, має чотири основні модулі, призначені для різних шкідливих функцій.
У липні 2025 року лабораторія FortiGuard Labs виявила шкідливе навантаження Gayfemboy, яке експлуатувало низку вразливостей у пристроях. Атаки були відстежені до IP-адрес 87.121.84.34 і 220.158.234.135. Експерти виявили скрипти-завантажувачі, спрямовані на пристрої компаній Asus, Vivo, Zyxel і Realtek. Шкідливий код завантажував програму-майнер і Monero-майнери GPU, передаючи назви продуктів як параметри для виконання через Gayfemboy.
У серпні 2025 року компанія Fortinet впровадила багаторівневий захист від кампанії Gayfemboy через служби FortiGuard вебфільтрації, які активно блокують виявлені C2-домени, а також через IPS-підписи для захисту від усіх експлуатованих вразливостей. До C2-доменів належать: cross-compilingorg, i-kiss-boyscom, furry-femboystop, twinkfindernl та 3gipcam.com.
Див. також Mirai
Примітки