به تازگی نوع جدیدی از بات‌نت Mirai کشف شده است که از شبکه Tor برای جلوگیری از توقیف یا تصرف سرور فرمان و کنترل استفاده می‌کند. Mirai یک بات‌نت اینترنت اشیاء (IoT) است که در گذشته در حملات انکار سرویس توزیع شده (DDoS) علیه وب سایت‌های برجسته مورد استفاده قرار گرفته است.
به گزارش معاونت بررسی مرکز افتا، به نقل از پایگاه اینترنتی ZDNet، این بات‌نت تلاش می‌کند تا دستگاه‌های IoT از جمله مسیریاب‌ها، دوربین‌های مداربسته، لوازم خانگی هوشمند و وسایل نقلیه را از طریق حملات جستجو فراگیر (brute-force) و استفاده از اطلاعات احرازهویت پیش فرض، تحت تصرف خود درآورد.
پس از استفاده از بات‌نت Mirai برای حمله به یکی از سایت‌های شناخته شده، کد منبع آن به صورت عمومی منتشر شد تا سایر عوامل مخرب نیز بتوانند آن را توسعه دهند و نسخه‌های مربوط به خود را ایجاد کنند. نسخه‌های تکامل یافته Mirai شامل موارد Okiru، Satori، Masuta، PureMasuta و Miori هستند.
پژوهشگران Trend Micro اخیرا نسخه جدیدی از این بات‌نت را کشف کرده‌اند که دارای كاركردهای مشابه سایر نمونه‌ها است. این موارد شامل دسترسی و کنترل از راه دور از طریق پورت‌های آسیب‌پذیر، باز و دارای اطلاعات احرازهویت پیش‌فرض و همچنین امکان انجام حملات DDoS و سیل UDP می‌باشند. آخرین نمونه Mirai روی پورت‌های 9527 و 34567 TCP تمرکز دارد که می‌تواند نشان دهنده تمایل برای تصاحب دوربین‌های IP و DVRها باشد. نکته جالب در مورد این نمونه، مخفی شدن سرورهای فرمان و کنترل (C&C) آن در آدرس‌های onion و شبکه Tor است. در نمونه‌های مختلف Mirai معمولا از یک الی چهار سرور C&C استفاده می‌شود، اما در این نمونه 30 آدرس IP وجود دارد. همچنین در این نمونه از پراکسی‌های Socks5 برای ارتباط با سرورها در شبکه Tor استفاده شده است. در صورتیکه یک ارتباط ناموفق باشد، بات‌نت از سرور دیگری از لیست خود استفاده می‌کند.
این بات‌نت اولین بدافزاری نیست که برای مخفی کردن خود از شبکه Tor استفاده می‌کند، اما می‌تواند الگوی مناسبی برای تکامل سایر بدافزارهای IoT باشد.
نشانه‌های آلودگی (IoC):
هش‌ها: URLها:
منابع: