Mozi’yi kim yok etti? Nihayet IoT zombi botneti mezara gömüldü

ESET Research, piyasadaki en üretken botnetlerden biri olan Mozi’yi yok etmek için kullanılan kill switch’i nasıl keşfetti?

Her yıl yüz binlerce IoT cihazındaki güvenlik açıklarından yararlanmasıyla ünlü olan Mozi botnet’inin, Ağustos 2023’teki faaliyetlerinde ani ve beklenmedik bir düşüş yaşandı. İlk olarak 8 Ağustos 2023’te Hindistan’da ve bir hafta sonra 16 Ağustos’ta Çin’de gözlemlenen bu gizemli ortadan kaybolma, Mozi botlarının işlevlerinin çoğunu ortadan kaldırdı.

Bu olayla ilgili araştırmamız, bizi 27 Eylül 2023’te bir kapatma anahtarının bulunmasına yönlendirdi. BitTorrent’in dağıtılmış özensiz karma tablosu (BT-DHT) protokolünün tipik bağımsız modüllerin eksik olduğu bir kullanıcı datagram protokolü (UDP) mesajı içinde yer alan kontrol yükünü (yapılandırma dosyası) tespit ettik. Kaldırma işleminin arkasındaki kişi, kontrol yükünü sekiz kez gönderdi ve her seferinde bota HTTP aracılığıyla kendisinin bir güncellemesini indirip yüklemesi talimatını verdi. 

Kill switch, aşağıdakiler gibi çeşitli işlevlerde bulundu: 

• Ana süreci, yani orijinal Mozi kötü amaçlı yazılımını öldürmek,
• sshd ve dropbear gibi bazı sistem hizmetlerini devre dışı bırakmak, 
• Orijinal Mozi dosyasını kendisiyle değiştirmek, 
• Bazı yönlendirici/cihaz yapılandırma komutlarını yürütmek, 
• Çeşitli bağlantı noktalarına erişimi devre dışı bırakmak (iptables -j DROP),  
• Değiştirilen orijinal Mozi dosyasıyla aynı temeli kurmak 

Kontrol yükünün iki versiyonunu belirledik; en sonuncusu, uzak bir sunucuya ping atmak için bir işlev eklemek gibi, muhtemelen istatistiksel amaçlara yönelik olan küçük değişikliklerle ilkini içeren bir zarf işlevi görüyor. 

İşlevsellikteki ciddi azalmaya rağmen Mozi botları kalıcılığını korudu, bu da kasıtlı ve hesaplı bir yayından kaldırma işlemine işaret ediyor. Kill switch analizimiz, botnet’in orijinal kaynak kodu ile yakın zamanda kullanılan ikili dosyalar arasında güçlü bir bağlantı olduğunu ve ayrıca kontrol yükünü imzalamak için doğru özel anahtarların kullanıldığını gösteriyor (bkz. Şekil 2).

Bu bizi, yayından kaldırmanın iki potansiyel nedenini gösteren hipoteze götürüyor: Mozi botnet yaratıcıları veya yaratıcıların iş birliğini zorlayan Çin kolluk kuvvetleri. Botların Hindistan’da ve ardından Çin’de sırayla hedeflenmesi, önce bir ülkenin ve bir hafta sonra diğerinin hedef alınmasıyla, yayından kaldırma işleminin kasıtlı olarak gerçekleştirildiğini gösteriyor.

En üretken IoT botnet’lerinden birinin sona ermesi, siber adli bilimin büyüleyici bir örneğidir ve bize bu tür botnet’lerin nasıl oluşturulduğu, çalıştırıldığı ve ortadan kaldırıldığı konusunda ilgi çekici teknik bilgiler sağlar. Bu vakayı araştırmaya devam ediyoruz ve önümüzdeki aylarda ayrıntılı bir analiz yayımlayacağız. Ancak şimdi akıllardaki soru şu: Mozi’yi kim yok etti? 

For any inquiries about our research published on WeLiveSecurity, please contact us at threatintel@eset.com.
ESET Research, özel APT istihbarat raporları ve veri yayınları sunar. Bu hizmetle ilgili sorularınız için ESET Threat Intelligence sayfasını ziyaret edin.

IoC’ler 

Dosyalar 

Ağ 

MITRE ATT&CK teknikleri 

Bu tablo, MITRE ATT&CK çerçevesinin 13. sürümü kullanılarak oluşturulmuştur.