Crescimento da Botnet JDY Permite Exploração Mais Rápida de Vulnerabilidades em IoT e SOHO

Resumo

O Black Lotus Labs identificou uma nova atividade do botnet JDY, uma rede ligada à China com mais de 1.500 dispositivos SOHO e IoT comprometidos usados para escaneamento em larga escala e coleta de impressões digitais. O botnet recebe instruções de um sistema de comando e controle centralizado, realiza escaneamentos direcionados multiprotocolos e retorna telemetrias estruturadas que ajudam os operadores a explorar rapidamente vulnerabilidades recém-divulgadas. Sua infraestrutura é obscurecida através do Tor, enquanto uma plataforma de código aberto chamada Platypus é usada para gerenciar dispositivos infectados. A atividade está focada em alvos militares e de infraestrutura crítica dos EUA.

Investigação

A investigação rastreou o tráfego do JDY até um servidor de carga útil em 149.248.3.38, que hospedava um serviço Platypus na porta 13339, e descobriu um dropper baseado em bash que recupera binários específicos de arquitetura através de busybox, curl, ou wget. Amostras de malware foram examinadas para identificar opções de linha de comando, comportamento de beaconing, recuperação de tarefas através de endpoints HTTPS criptografados e métodos de escaneamento adaptativos, como sondagem SYN de pacotes crus. O relatório também conecta o JDY ao antigo KV-botnet e associa a atividade ao grupo APT chinês Volt Typhoon.

Mitigação

As defesas recomendadas incluem seguir as orientações da NCSC do Reino Unido e da CISA para combater infraestrutura oculta ligada à China, fortalecer o firmware de roteadores e IoT, reiniciar e aplicar patches nos dispositivos regularmente e usar SASE ou controles similares para reduzir a exposição externa. As equipes de segurança também devem monitorar sessões TLS incomuns para endereços IP desconhecidos e atividade de escaneamento inesperada originada de dispositivos de borda internos.

Resposta

Se a atividade do JDY for detectada, isole imediatamente o dispositivo afetado, bloqueie o tráfego de saída para o IP e porta de comando e controle identificados, e remova quaisquer binários maliciosos. O conteúdo de detecção deve incluir o nome do processo auditdy e o serviço Platypus, seguido de uma varredura de rede mais ampla para outros dispositivos IoT que apresentem o mesmo padrão de beaconing. O firmware deve ser atualizado e patches aplicados a quaisquer produtos vulneráveis expostos, incluindo os dispositivos Fortinet mencionados no relatório.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  O operador JDY deseja recuperar a próxima carga útil de seu servidor codificado (149.248.3.38). Para ocultar o canal C2, o operador também tenta uma conexão roteada por Tor, esperando que a regex “tor” o sinalize. Em um host Windows comprometido, o atacante executa uma linha única PowerShell que abre um socket TCP para o servidor de carga útil, depois usa o executável Tor (tor.exe) para resolver um serviço oculto e se conectar a ele. Ambas as ações produzem eventos de firewall de saída que devem satisfazer a regra Sigma.

• Script de Teste de Regressão:

  # Simulação de atividade do Botnet JDY – aciona a regra Sigma
  # -------------------------------------------------------
  # 1. Conexão direta com servidor de carga útil conhecido
  $payloadIp = "149.248.3.38"
  $payloadPort = 80
  try {
      $sock = New-Object System.Net.Sockets.TcpClient($payloadIp, $payloadPort)
      Write-Output "Conectado ao servidor de carga útil JDY ($payloadIp:$payloadPort)"
      $sock.Close()
  } catch {
      Write-Error "Falha ao conectar ao servidor de carga útil: $_"
  }
  
  # 2. Conexão baseada em Tor (simulada via nome de host contendo 'tor')
  #    Assume que tor.exe está no PATH e um proxy TOR SOCKS está ouvindo em 127.0.0.1:9050
  $torDest = "exampletorhiddenservice.onion"
  $torPort = 443
  $torProxy = "127.0.0.1:9050"
  try {
      $script = @"
      $client = New-Object System.Net.Sockets.TcpClient
      $client.Connect("$torDest", $torPort)
      "@
      # Na prática, isso requer um resolvedor habilitado para Tor; aqui nós apenas emitimos um evento logável
      Write-Output "Tentando conexão Tor para $torDest:$torPort via $torProxy"
  } catch {
      Write-Error "Conexão Tor falhou: $_"
  }
  
  # Fim da simulação – o firewall deve ter registrado duas tentativas de saída

• Comandos de Limpeza:

  # Remova quaisquer conexões remanescentes ou arquivos temporários
  Get-NetTCPConnection -RemotePort 80,443 | Where-Object { $_.RemoteAddress -eq "149.248.3.38" } | Remove-NetTCPConnection -Force
  # (Se tor.exe foi iniciado, pare-o)
  Stop-Process -Name "tor" -ErrorAction SilentlyContinue