CatDDoS ボットネット

Botnets年Mezoまで

翻訳内容：

より活発な主流の DDoS ボットネットを分析している研究者は、CatDDoS 関連のサイバーギャングによる攻撃活動が急増していると報告しています。専門家は調査の過程で、サイバー犯罪者がわずか 3 か月の間に 80 を超える脆弱性を悪用して標的のデバイスを侵害したことを確認しました。さらに、ターゲットの最大数は 1 日あたり 300 を超えることが確認されています。攻撃者の目的は、脆弱なデバイスに侵入し、それらを乗っ取ってボットネットの一部にし、分散型サービス拒否 (DDoS) 攻撃を実行することです。

サイバー犯罪者は多数の脆弱性を悪用してCatDDoSボットネットを展開

これらの脆弱性は、Apache (ActiveMQ、Hadoop、Log4j、RocketMQ)、Cacti、Cisco、D-Link、DrayTek、FreePBX、GitLab、Gocloud、Huawei、Jenkins、Linksys、Metabase、NETGEAR、Realtek、Seagate、SonicWall、Tenda、TOTOLINK、TP-Link、ZTE、Zyxel などのさまざまなベンダーが提供するルーター、ネットワーク機器、その他のハードウェアを含む幅広いデバイスに影響を及ぼします。研究者は、特定の脆弱性は未確認のままであり、特定の条件下ではゼロデイ脆弱性である可能性があると指摘しています。

CatDDoS は悪名高い Mirai ボットネットに基づいています

CatDDoS 自体は、その誕生以来Miraiの亜種です。初期のドメイン名とサンプルに「cat」と「meow」が含まれていたことからその名前が付けられ、作成者が猫をテーマに好んでいたことを示しています。2023 年 8 月に初めて出現した CatDDoS の最近のバージョンは、以前のバージョンと比較して通信方法にわずかな変更が見られます。

研究者の間では、CatDDoS は昨年末に停止したのではないかと推測されています。しかし、この脅威のソースコードは作成者によって販売されたか、独自に漏洩されました。その結果、RebirthLTD、Komaru、Cecilio Network などの新しい亜種が出現しました。

複数のサイバー犯罪グループが独自のCatDDoSボットネットの亜種を作成

CatDDoS ボットネットのさまざまなバージョンをさまざまなグループが監視している可能性がありますが、コード構造、通信プロトコル、文字列パターン、復号化方法、およびその他の側面における相違は最小限です。その結果、研究者はこれらの亜種を CatDDoS 関連グループと呼ばれる統一されたクラスターに統合しました。

最近アクティブな亜種には、v-2.0.4 (CatDDoS) と v-Rebirth (RebirthLTD) があり、どちらもデータ転送に chacha20 暗号化を採用しており、キーと nonce は同じです。相違点は、v-2.0.4 が OpenNIC ドメインをコマンドアンドコントロール (C2) ドメイン名として使用している点です。RebirthLTD は当初 Mirai のオリジナルコードを使用していましたが、その後 CatDDoS のコードベースに移行し、頻繁に更新されています。

本質的に、CatDDoS 関連のサンプルは、以前のバージョンと比較して最小限の変更しか施されていません。リバースエンジニアリングの複雑さを高めるために、いくつかの小さな調整が実装されています。したがって、変更はあるものの、その変更は比較的限定的であるという意見が一致しています。