Возрождение Moobot: анализ утечки инфраструктуры

Современные киберпреступники создают комплексные экосистемы, объединяя различные векторы атак на одном сервере. На обнаруженном хосте одновременно размещались исходный код Moobot, независимая панель управления DDoS-атаками «StresD Pro+» и мошеннический сервис для верификации китайских граждан. Такая концентрация инструментов свидетельствует об оптимизации теневого бизнеса по модели «киберпреступность как услуга» (CaaS). Это значительно снижает порог вхождения для новых злоумышленников, позволяя им развертывать масштабные атаки с минимальными усилиями.

Исследование открытой директории позволило компании Censys детально изучить обновленную версию Moobot, который является производным от известного ботнета Mirai. Код содержит идентичные маркеры из предыдущих кампаний, включая заголовок пакета 0x336699 и 32-символьный ключ генерации. Однако самой важной находкой стала ранее неизвестная «спящая» функция загрузки и выполнения (download-and-execute). Исследователи предполагают, что именно эта функция позволила группе APT28 в свое время перехватить контроль над ботнетом для доставки собственного вредоносного воздействия на уже скомпрометированные устройства.

Помимо Moobot, на сервере функционировала панель управления «StresD Pro+», которая генерирует трафик отказа в обслуживании (DoS) непосредственно с локального сервера. Для этого используется специальный Python-скрипт, нацеленный на серверы Minecraft Bedrock Edition через протокол RakNet. Другой обнаруженный сервис — система подделки государственных идентификаторов, которая перепродает доступ к стороннему API. Этот инструмент позволяет злоумышленникам валидировать украденные персональные данные граждан, что расширяет возможности для дальнейшего мошенничества.

Журналы, найденные на сервере, демонстрируют высокую активность операторов в реальном времени. Лишь за один день панель «StresD Pro+» зафиксировала 32 уникальные атаки от различных пользователей. Интересным фактом является то, что администраторы сервиса тщательно собирают цифровые отпечатки своих клиентов: фиксируют IP-адреса, параметры экрана, количество ядер процессора и данные браузера. По состоянию на август 2026 года аналитики также зафиксировали как минимум один активный C2-сервер Moobot в Амстердаме, который выдал более 500 задач на атаку.

Утечка кода Moobot и активность сопутствующих сервисов доказывают, что заблокированные ранее угрозы способны быстро восстанавливаться благодаря коммерциализации вредоносного ПО. Современному бизнесу необходимо переходить от базовой защиты к проактивной архитектуре безопасности, которая включает постоянный мониторинг, разведку угроз (Threat Intelligence) и своевременное выявление скрытой инфраструктуры. Надежная защита требует комплексного подхода и привлечения специализированных решений.

Компания iIT Distribution как дистрибьютор решений по кибербезопасности обеспечивает полный цикл поддержки партнеров и клиентов. Команда iITD помогает в проектировании архитектуры безопасности, подборе оптимального оборудования и программного обеспечения для защиты от сложных угроз. Благодаря экспертной оценке, техническим консультациям и обучению специалистов, iIT Distribution становится неотъемлемой частью команды партнера, обеспечивая успешное внедрение и сопровождение безопасных проектов любой сложности.