Botnetul IPStorm atacă dispozitivele Android, macOS și Linux

    Botnet-ul IPStorm a fost identificat pentru prima dată de Anomali în iunie 2019 și apoi a atacat doar mașinile Windows. În acel moment, botnetul includea aproximativ 3.000 de sisteme infectate, dar chiar și atunci cercetătorii au descoperit mai multe caracteristici unice și interesante, care sunt unice pentru IPStorm. De exemplu, numele complet al malware-ului - InterPlanetary Storm - provine de la InterPlanetary File System (IPFS), un protocol P2P pe care malware-ul îl folosea pentru a comunica cu sistemele infectate și pentru a transmite comenzi.

În plus, IPStorm s-a dovedit a fi scris în limba Go și, deși nimeni nu este surprins de malware în această limbă, în 2019 acest lucru nu a fost atât de răspândit, ceea ce a făcut din IPStorm un malware destul de exotic și interesant.

Interesant este că raportul Anomali din 2019 nu a explicat cum se răspândește malware-ul. În acel moment, unii cercetători sperau că IPStorm se va dovedi a fi experimentul cuiva cu IPFS și nu va primi o dezvoltare completă. Din păcate, aceste speranțe nu erau destinate să se împlinească.

În rapoartele recente publicate de experții Bitdefender și Barracuda, se spune că au fost descoperite noi versiuni ale IPStorm care pot infecta dispozitive care rulează Android, macOS și Linux. Experții și-au dat seama și cum a fost răspândit botnetul, respingând teoria că a fost doar experimentul cuiva. Și mai rău, numărul de mașini infectate a crescut deja la 13.500 de gazde.

Potrivit cercetătorilor, botnet-ul atacă și infectează dispozitivele Android scanând pe Internet dispozitivele cu un port ADB (Android Debug Bridge) deschis. La rândul lor, dispozitivele care rulează Linux și macOS sunt compromise prin atacuri de dicționar asupra SSH, adică atacatorii pur și simplu forțează brute un nume de utilizator și o parolă.

După ce IPStorm se infiltrează în dispozitive, malware-ul verifică software-ul honeypot, se atașează la sistem și apoi elimină o serie de procese care ar putea reprezenta o amenințare pentru funcționarea acestuia.

Deși botnetul este activ de peste un an, cercetătorii încă nu și-au dat seama care este scopul final al operatorilor IPStorm. Faptul este că IPStorm instalează un shell invers pe toate dispozitivele infectate, dar apoi lasă sistemele în pace. În teorie, acest backdoor poate fi abuzat în multe feluri, dar până acum operatorii IPStorm nu îl folosesc deloc, deși ar putea instala mineri pe dispozitive infectate, le pot folosi ca proxy, pot organiza atacuri DDoS sau pur și simplu vinde accesul la sistemele infectate.

#Botnet  #IPStorm