گوریلا بات نت

محققان امنیت سایبری خانواده جدیدی از بدافزارهای بات‌نت به نام Gorilla (یا GorillaBot) را شناسایی کرده‌اند که بر اساس کد منبع فاش شده Mirai Botnet است.

به گفته کارشناسان نظارت بر این فعالیت، بات نت Gorilla بیش از 300000 دستور حمله را در مدت زمان بسیار کوتاهی با نرخ حمله شگفت انگیز در سپتامبر 2024 اجرا کرد. حملات سرویس (DDoS)

بیش از 100 کشور هدف تلاش های DDoS

گزارش شده است که این بات نت بیش از 100 کشور را هدف قرار داده و حملاتی را علیه دانشگاه ها، وب سایت های دولتی، مخابرات، بانک ها و همچنین صنایع بازی و قمار انجام داده است. کشورهایی که بیشترین آسیب را دیده اند عبارتند از چین، ایالات متحده، کانادا و آلمان.

کارشناسان نشان می‌دهند که گوریلا در درجه اول از روش‌هایی مانند سیل UDP، سیل ACK BYPASS، سیل موتور سوپاپ (VSE)، سیل SYN و سیل ACK برای انجام حملات DDoS خود استفاده می‌کند. ماهیت بدون اتصال پروتکل UDP، جعل IP منبع دلخواه را امکان پذیر می کند، که منجر به حجم قابل توجهی از ترافیک می شود.

این بات نت علاوه بر پشتیبانی از چندین معماری CPU، از جمله ARM، MIPS، x86_64 و x86، به قابلیت اتصال به یکی از پنج سرور از پیش تعریف شده Command-and-Control (C2) برای دریافت دستورات DDoS مجهز شده است.

بهره برداری از آسیب پذیری ها و مکانیسم پایداری

در یک توسعه قابل توجه، این بدافزار توابعی را برای سوء استفاده از یک آسیب پذیری امنیتی در Apache Hadoop YARN RPC ترکیب می کند و به آن اجازه می دهد تا به اجرای کد از راه دور دست یابد. این نقص خاص حداقل از سال 2021 در طبیعت مورد بهره برداری قرار گرفته است.

برای اطمینان از ماندگاری روی هاست، بدافزار یک فایل سرویس به نام custom.service در فهرست /etc/systemd/system/ ایجاد می‌کند که به گونه‌ای پیکربندی شده است که در هنگام راه‌اندازی سیستم به طور خودکار اجرا شود. این سرویس وظیفه دانلود و اجرای یک اسکریپت پوسته به نام lol.sh را از یک سرور راه دور (pen.gorillafirewall.su) دارد. علاوه بر این، دستورات مشابهی در فایل‌های /etc/inittab، /etc/profile و /boot/bootcmd وارد می‌شوند تا دانلود و اجرای اسکریپت پوسته هنگام راه‌اندازی سیستم یا ورود کاربر تسهیل شود.

این بدافزار انواع مختلفی از روش‌های حمله DDoS را معرفی می‌کند و از الگوریتم‌های رمزگذاری که معمولاً توسط گروه Keksec برای پنهان کردن اطلاعات حیاتی استفاده می‌شود، استفاده می‌کند. همچنین از تکنیک‌های متعددی برای حفظ کنترل طولانی‌مدت بر دستگاه‌های اینترنت اشیا و میزبان‌های ابری استفاده می‌کند که نشان‌دهنده آگاهی پیچیده از اقدامات تشخیص متقابل معمول خانواده‌های بات‌نت در حال ظهور است.

برخی از محققان امنیتی معتقدند که بدافزار Gorilla Botnet کاملاً جدید نیست و بیش از یک سال است که فعال است.