Исследователи из китайской ИБ-компании Qihoo 360 обнаружили, что операторы IoT-ботнета HNS начали расширять свои владения за счет роутеров и серверов.

Бот-сеть HNS (Hide ‘N Seek), состоящая преимущественно из IP-камер, объявилась в Интернете в начале текущего года. На тот момент усилия ее операторов были направлены в основном на наращивание боевого потенциала, и внедряемые посредством эксплойта боты использовались лишь для проксирования трафика.

К маю HNS научился выживать после перезагрузки зараженного устройства — насколько известно, среди IoT-зловредов подобной цепкостью обладает лишь VPNFilter. Как оказалось, авторы бота на этом не остановились и решили превратить свое оружие в более универсальную угрозу.

Ныне HNS, по свидетельству Qihoo 360, способен эксплуатировать уязвимости не только в цифровых камерах и видеорегистраторах, но также в роутерах (TPLink, Netgear, Cisco Linksys) и СУБД (OrientDB, CouchDB). Исследователи зафиксировали связанную с HNS скан-активность на следующих портах:

  • 23 — Telnet
  • 80 — веб-сервис HTTP
  • 2480 — OrientDB (похоже, речь идет об уязвимости CVE-2017-11467, которую использовал также ботнет DDG для загрузки майнера Monero)
  • 5984 — CouchDB (CVE-2017-12636)
  • 8080 — веб-сервис HTTP

Поскольку количество портов, проверяемых HNS, увеличилось, его деятельность стала более заметной. Кроме того, эта бот-сеть, как и Hajime, имеет p2p-структуру, поэтому она сильно выделяется среди IoT-аналогов, управляемых из единого центра, и ее легче идентифицировать.

Стремясь умножить армию зараженных устройств, ботоводы HNS не забывают о цели своего предприятия — получении дохода. По наблюдениям экспертов, на некоторые зараженные устройства ботнета загружается майнер. Судя по всему, это проба пера: все попытки запуска генератора криптовалюты пока оказались провальными.

Категории: Аналитика, Вредоносные программы, Уязвимости