Розширення ботнету JDY сприяє швидшій експлуатації вразливостей IoT та SOHO

Резюме

Black Lotus Labs виявила відновлену активність ботнету JDY, мережі, пов’язаної з Китаєм, яка налічує понад 1,500 компрометованих SOHO та IoT пристроїв і використовується для масштабного сканування та ідентифікації. Ботнет отримує інструкції з централізованої системи командного управління, виконує цільові багатопротокольні сканування та повертає структуровану телеметрію, що допомагає операторам швидко експлуатувати нововиявлені вразливості. Його інфраструктуру приховано через Tor, тоді як для керування інфікованими пристроями використовується платформа з відкритим кодом Platypus. Діяльність зосереджена на військових цілях США та критичній інфраструктурі.

Розслідування

Розслідування прослідкувало трафік JDY до сервера з шкідливими навантаженнями за адресою 149.248.3.38, який хостив сервіс Platypus на порту 13339, і викрило дроппер на базі bash, що витягує архітектурно-специфічні двійкові файли через busybox, curl, або wget. Зразки шкідливих програм були проаналізовані для виявлення командних опцій, поведінки маяків, отримання завдань через зашифровані кінцеві точки HTTPS та адаптивних методів сканування, таких як SYM-проба сирих пакетів. Звіт також пов’язує JDY з ранішим KV-ботнетом і асоціює активність з китайською групою APT Volt Typhoon.

Пом’якшення

Рекомендовані заходи захисту включають дотримання рекомендацій NCSC Великобританії та CISA щодо протидії прихованій інфраструктурі, пов’язаній з Китаєм, посилення прошивки маршрутизаторів і IoT, регулярного перезапуску та оновлення пристроїв, а також використання SASE або подібних контрольних механізмів для зменшення зовнішньої експозиції. Команди безпеки також повинні відстежувати незвичні вихідні TLS-сесії до незнайомих IP-адрес і неочікувану активність сканування від внутрішніх крайових пристроїв.

Відповідь

Якщо активність JDY виявлена, негайно ізолюйте уражений пристрій, заблокуйте вихідний трафік до виявленої IP-адреси та порту командного управління і видаліть шкідливі двійкові файли. Вміст детекції повинен включати назву процесу auditdy та сервіс Platypus, після чого слід провести більш широке мережеве сканування для інших IoT-пристроїв з таким самим шаблоном маякування. Після цього слід оновити прошивку та застосувати патчі до всіх вразливих продуктів, включно з пристроями Fortinet, згаданими в звіті.

Виконання симуляції

Передумова: Телеметрія та перевірка базових параметрів повинні бути успішно пройдені.

Обґрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для активації правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати ідентифіковані TTP та мають на меті згенерувати точну телеметрію, очікувану логікою виявлення.

• Наратив атаки та команди:
  Оператор JDY хоче отримати наступне навантаження зі свого жорстко зафіксованого сервера (149.248.3.38). Щоб приховати канал C2, оператор також намагається підключитися через мережу Tor, сподіваючись, що регулярний вираз “tor” це відзначить. На компрометованому хості Windows, зловмисник запускає одноразову команду PowerShell, що відкриває сокет TCP до сервера навантаження, потім використовує виконуваний файл Tor (tor.exe) для вирішення прихованого сервісу і підключення до нього. Обидві дії генерують вихідні події міжмережевого екрану, які мають задовольнити правило Sigma.

• Сценарій регресійного тестування:

  # Симуляція активності JDY ботнету – тригер для правила Sigma
  # -------------------------------------------------------
  # 1. Пряме підключення до відомого сервера навантаження
  $payloadIp = "149.248.3.38"
  $payloadPort = 80
  try {
      $sock = New-Object System.Net.Sockets.TcpClient($payloadIp, $payloadPort)
      Write-Output "Підключено до сервера навантаження JDY ($payloadIp:$payloadPort)"
      $sock.Close()
  } catch {
      Write-Error "Не вдалося підключитися до сервера навантаження: $_"
  }
  
  # 2. Підключення через Tor (симульовано через hostname, що містить 'tor')
  #    Припускається, що tor.exe знаходиться в шляху та SOCKS3-проксі TOR слухає на 127.0.0.1:9050
  $torDest = "exampletorhiddenservice.onion"
  $torPort = 443
  $torProxy = "127.0.0.1:9050"
  try {
      $script = @"
      $client = New-Object System.Net.Sockets.TcpClient
      $client.Connect("$torDest", $torPort)
      "@
      # На практиці це вимагає резервера, що підтримує Tor; тут ми просто випускаємо подію, що може бути зафіксована
      Write-Output "Спроба підключення через Tor до $torDest:$torPort через $torProxy"
  } catch {
      Write-Error "Не вдалося підключитися через Tor: $_"
  }
  
  # Кінець симуляції – міжмережевий екран повинен зафіксувати два вихідних спроби

• Команди очистки:

  # Видалення всіх лишкових з'єднань чи тимчасових файлів
  Get-NetTCPConnection -RemotePort 80,443 | Where-Object { $_.RemoteAddress -eq "149.248.3.38" } | Remove-NetTCPConnection -Force
  # (Якщо tor.exe був запущений, зупиніть його)
  Stop-Process -Name "tor" -ErrorAction SilentlyContinue