C0XMO: Eine neue Gafgyt-Variante mit plattformübergreifender Verbreitung

Zusammenfassung

FortiGuard Labs hat einen neuen Gafgyt-Botnetz-Stamm namens C0XMO identifiziert, der sich durch Ausnutzung einer Pufferüberlauf-Schwachstelle in DD-WRT-Routern verbreitet, die als CVE-2021-27137verfolgt wird. Die Malware verwendet einen separaten Python-basierten Scanner, um Infektionen über verschiedene CPU-Architekturen hinweg zu verbreiten, und stützt sich zudem auf Angriffe mit schwachen Anmeldedaten, mehrere DDoS-Fähigkeiten und Routinen zur Entfernung konkurrierender Malware. Nach der Infektion stellt sie Persistenz durch versteckte Dateien, Cron-Jobs und Shell-Profil-Änderungen her, bevor sie Kontakt zu ihrem Kommando- und Kontrollserver aufnimmt. Der Bericht enthält auch Indikatoren und Verteidigungsleitfäden für Organisationen, die exponierte IoT-Geräte betreiben.

Untersuchung

Die Analyse zeigt, dass C0XMO CVE-2021-27137 im DD-WRT UPnP-Dienst missbraucht, um sich initialen Zugang zu verschaffen, und dann einen Python-Scanner von 217.160.125.125:15527abruft. Dieser Scanner führt Telnet- und SSH-Brute-Force-Versuche durch, startet mehrere HTTP-basierte Exploit-Anfragen und setzt architekturspezifische Binärdateien entsprechend der Zielumgebung ein. Die Persistenz wird durch versteckte Dateien in Verzeichnissen wie /tmp, /var/tmp, /dev/shmund Benutzer-Home-Verzeichnisse, zusammen mit Cron-Job-Einträgen und Shell-Profiländerungen aufrechterhalten. Die Malware kommuniziert dann mit ihrer C2-Infrastruktur unter 85.215.131.70 unter Verwendung einer benutzerdefinierten Handshake-Sequenz.

Abschwächung

Organisationen sollten die DD-WRT-Firmware auf eine Version neuer als das Änderungspaket 45723 aktualisieren und Patches für alle verwandten CVEs anwenden. Nicht benötigte Remote-Dienste wie UPnP, Telnet und SSH sollten auf Geräten mit Internetzugang nach Möglichkeit deaktiviert werden. Starke, eindeutige Anmeldedaten sollten bei allen Randgeräten durchgesetzt werden, und exponierte Dienste sollten regelmäßig überprüft werden. Netzwerkbasierte Erkennungsmechanismen sollten auch für die identifizierten IP-Adressen, Ports und schädlichen Aufrufmuster der Kampagne eingesetzt werden.

Reaktion

Verteidiger sollten ausgehenden Datenverkehr auf Verbindungen zur bekannten C2-Infrastruktur und dem Scanner-Download-Port überwachen. Warnungen sollten für versteckte Dateien mit dem Namen .sys, Cron-Änderungen, die alle 15 Minuten ausgeführt werden, und die Ausführung des Scannerskripts konfiguriert werden. Die identifizierten bösartigen IPs und Domains sollten an der Firewall blockiert werden, und kompromittierte Geräte sollten für forensische Untersuchungen und eine vollständige Bereinigung isoliert werden.

Simulation

Voraussetzung: Der Telemetrie- & Baseline-Pre‑flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Der Bot des Angreifers, der bereits auf dem kompromittierten Host über Diensteausführung (T1546.007) installiert ist, initiiert einen C2-Handshake mit dem fest kodierten Server 217.160.125.125 auf Port 15527. Die Verbindung nutzt einen einfachen TCP-Socket, um Befehle abzurufen, die exakt die Kriterien der Regel entsprechen. Diese Aktivität ist typisch für das „phone‑home“ Verhalten des C0XMO-Botnetzes.

• Regressionstest-Skript:

  # C0XMO C2 Kommunikationssimulation – löst die Sigma-Regel aus
  $c2Ip = "217.160.125.125"
  $c2Port = 15527
  
  # Öffnen einer TCP-Verbindung, senden einer minimalen Nutzlast und schließen
  $client = New-Object System.Net.Sockets.TcpClient
  $client.Connect($c2Ip, $c2Port)
  
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("PING`n")
  $stream.Write($payload, 0, $payload.Length)
  
  # Kurz warten, um realistische Latenz zu simulieren
  Start-Sleep -Seconds 2
  
  $stream.Close()
  $client.Close()

• Aufräumbefehle:

  # Es wurden keine dauerhaften Änderungen vorgenommen; sicherstellen, dass alle offenen Sockets geschlossen sind
  # (Das Skript schließt bereits den Socket; dies ist ein Sicherheitsnetz.)
  Get-Process -Name "powershell" | Where-Object { $_.MainWindowTitle -eq "" } | Stop-Process -Force