Phần mềm độc hại RapperBot được sử dụng để khởi chạy các cuộc tấn công DDoS trên máy chủ trò chơi

Phiên bản cập nhật của phần mềm độc hại RapperBot đang được sử dụng để thực hiện các cuộc tấn công DDoS trên máy chủ trò chơi.

Một phiên bản mới của phần mềm độc hại botnet RapperBot đang được sử dụng để nhắm mục tiêu các máy chủ trò chơi bằng các cuộc tấn công DDoS. Các thiết bị IoT đang được sử dụng làm cổng để tiếp cận máy chủ.

Máy chủ trò chơi được nhắm mục tiêu bởi những kẻ tấn công DDoS

Các tác nhân đe dọa đang sử dụng phần mềm độc hại RapperBot để thực hiện các cuộc tấn công từ chối dịch vụ (DDoS) phân tán trên các máy chủ trò chơi. Các nền tảng Linux có nguy cơ bị tấn công bởi mạng botnet cực kỳ nguy hiểm này.

Trong một bài đăng trên blog của Fortinet, người ta đã nói rằng RapperBot có khả năng nhắm vào các máy chủ trò chơi do các lệnh cụ thể mà nó hỗ trợ và không có các cuộc tấn công DDoS liên quan đến HTTP. Các thiết bị IoT (Internet of Things) đang gặp rủi ro ở đây, mặc dù có vẻ như RapperBot quan tâm hơn đến việc nhắm mục tiêu các thiết bị cũ hơn được trang bị chipset Qualcomm MDM9625.

RapperBot dường như nhắm mục tiêu đến các thiết bị chạy trên kiến ​​trúc ARM, MIPS, PowerPC, SH4 và SPARC, mặc dù nó không được thiết kế để chạy trên chipset Intel.

Đây không phải là màn ra mắt của RapperBot

RapperBot không phải là thương hiệu mới đối với không gian tội phạm mạng, mặc dù nó cũng đã không xuất hiện trong nhiều năm. RapperBot được Fortinet chú ý lần đầu tiên vào tháng 8 năm 2022, mặc dù sau đó đã được xác nhận rằng nó đã hoạt động từ tháng 5 năm trước. Trong trường hợp này, RapperBot đã được sử dụng để khởi chạy các cuộc tấn công vũ phu SSH nhằm lan truyền trên các máy chủ Linux.

Fortinet đã nêu trong bài đăng trên blog nói trên rằng sự khác biệt đáng kể nhất trong phiên bản cập nhật này của RapperBot là “sự thay thế hoàn toàn mã SSH brute force bằng mã tương đương Telnet thông thường hơn”.

Mã Telnet này được thiết kế để tự lan truyền, mã này gần giống và có thể lấy cảm hứng từ botnet Mirai IoT cũ chạy trên bộ xử lý ARC. Mã nguồn Mirai bị rò rỉ vào cuối năm 2016, dẫn đến việc tạo ra nhiều phiên bản sửa đổi (một trong số đó có thể là RapperBot).

Nhưng không giống như Mirai, lần lặp này của trình tải xuống nhị phân nhúng của RapperBot được “lưu trữ dưới dạng chuỗi byte thoát, có thể để đơn giản hóa quá trình phân tích cú pháp và xử lý trong mã”, như đã nêu trong bài đăng trên blog của Fortinet về phiên bản mới của mạng botnet.

Các nhà khai thác của Botnet không được biết đến

Tại thời điểm viết bài, người điều hành RapperBot vẫn ẩn danh. Tuy nhiên, Fortinet đã tuyên bố rằng một tác nhân độc hại hoặc một nhóm tác nhân có quyền truy cập vào mã nguồn là những tình huống có khả năng xảy ra nhất. Thông tin thêm về điều này có thể xuất hiện trong tương lai gần.

Cũng có khả năng là phiên bản cập nhật này của RapperBot có khả năng được sử dụng bởi chính những cá nhân đã vận hành lần lặp lại trước đó, vì họ sẽ cần quyền truy cập vào mã nguồn để thực hiện các cuộc tấn công.

Hoạt động của RapperBot tiếp tục được theo dõi

Fortinet đã kết thúc bài đăng trên blog của mình về biến thể RapperBot được cập nhật bằng cách đảm bảo với độc giả rằng hoạt động của phần mềm độc hại sẽ được theo dõi trong tương lai. Vì vậy, chúng ta có thể tiếp tục thấy nhiều trường hợp sử dụng RapperBot hơn khi thời gian trôi qua.