Moobot-тың қайта жандануы: инфрақұрылымның таралуын талдау

Қазіргі киберқылмыскерлер күрделі экожүйелерді құра отырып, бір серверде әр түрлі шабуыл бағыттарын біріктіреді. Анықталған хостта бір уақытта Moobot-тың бастапқы коды, DDoS шабуылдарын басқару тәуелсіз панелі «StresD Pro+» және қытай азаматтарын растауға арналған алаяқтық қызмет орналастырылды. Құралдардың осындай шоғырлануы көлеңкелі бизнесті «қызмет ретінде киберқылмыс» (CaaS) моделіне қарай оңтайландыратынын көрсетеді. Бұл жаңа қаскөйлерге кіру шегін едәуір төмендетіп, ауқымды шабуылдарды аз күш жұмсап орналастыруына мүмкіндік береді.

Ашылған директорияны зерттеу Censys компаниясына Moobot жаңартылған нұсқасын толығымен зерттеуге мүмкіндік берді, ол танымал Mirai ботнетінен шыққан. Код алдыңғы кампаниялардан бірдей маркерлерді қамтиды, соның ішінде 0x336699 пакеттік заголовок және 32 таңбалы кілт генерациясы. Бірақ ең маңызды табыстың бірі бұрын белгісіз болған «жүктеу және орындау» (download-and-execute) ұйықтап жатқан функциясы болды. Зерттеушілер бұл функция APT28 тобына ботнеттің бақылауын өз қолына алып, сырттан жүктелген зиянды жүктемесін бұған дейін бұзылған құрылғыларға жеткізуге мүмкіндік беретінін болжайды.

Moobot-тан басқа, серверде «StresD Pro+» басқару панелі жұмыс істеді, ол қызмет көрсетуден бас тарту (DoS) трафигін тікелей жергілікті серверден генерирлейді. Мұны арнайы Python-скрипт пайдаланады, ол Minecraft Bedrock Edition серверлерін RakNet протоколы арқылы нысанаға алады. Басқа анықталған қызмет — үшінші тарап API қолжетімділігін сату арқылы мемлекеттік идентификаторларды қолдан барлық жүйе. Бұл құрал қаскөйлерге ұрланған жеке деректерді растауға мүмкіндік береді, бұл одан әрі алаяқтық үшін мүмкіндіктерді кеңейтеді.

Серверден табылған журналдар операторлардың нақты уақыттағы жоғары белсенділігін көрсетеді. Қазіргі бір күн ішінде «StresD Pro+» панелі әртүрлі пайдаланушылардан 32 бірегей шабуылды тіркеді. Қызықты факт — қызметтің әкімшілері өз клиенттерінің цифрлық іздерін мұқият жинайды: IP-мекенжайларды, экран параметрлерін, процессор ядроларының санын және браузер деректерін тіркейді. 2026 жылдың тамыз айына дейін аналитиктер Амстердамда орналасқан кем дегенде бір белсенді Moobot C2-серверін тіркеді, ол 500-ден астам шабуыл тапсырмасын шығарды.

Moobot кодын ағып кетуі және байланысты қызметтер белсенділігі алдын ала бұғатталған қатерлердің зиянды бағдарламалардың коммерциализациясына байланысты тез қалпына келуге қабілетті екенін дәлелдейді. Қазіргі заманғы бизнес негізгі қорғаныстан қауіпсіздіктің проактивті архитектурасына көшуі керек, оған тұрақты мониторинг, қатерлер барлау (Threat Intelligence) және жасырын инфрақұрылымды өз уақытында анықтау кіреді. Сенімді қорғаныс кешенді тәсілді талап етеді және мамандандырылған шешімдерді тартуды қажет етеді.

iIT Distribution компаниясы киберқауіпсіздік шешімдерінің дистрибьюторы ретінде серіктестер мен клиенттердің толық қолдау циклін қамтамасыз етеді. iITD командасы қауіпсіздік архитектурасын жобалау, күрделі қатерлерден қорғау үшін ең жақсы құрал жабдықты және бағдарламалық жасақтаманы таңдауға көмектеседі. Сараптамалық бағалау, техникалық кеңестер және мамандарды оқыту арқылы iIT Distribution серіктес командасының ажырамас бөлігіне айналып, кез-келген күрделі қауіпсіздік жобаларын сәтті іске асыруды және сүйемелдеуді қамтамасыз етеді.