HEH è la botnet appena scoperta che attacca i sistemi connessi a Internet utilizzando il protocollo Telnet sulle porte 23/2323 e si diffonde lanciando attacchi brut-force.

Cosa sappiamo sino ad ora?

Su SecurityAffairs si legge che la nuova botnet è stata scoperta dai ricercatori Netlab, la divisione di sicurezza di rete del gigante tecnologico cinese Qihoo 360. HEH, secondo le prime analisi, conterrebbe il codice per cancellare tutti i dati dai sistemi infetti, come router, dispositivi IoT e server.

HEH botnet le analisi dei ricercatori di sicurezza

In una panoramica, sul blog di Netlab, si legge che HEH botnet – questo è il nome dato perché sembra essere il nome del progetto all’interno del codice – è scritto in linguaggo GO e utilizza il protocollo P2P proprietario. Sulla base del risultato di analisi di go_parser di Jia Yu – che si trova su GitHub l’esempio HEH catturato è stato costruito da Go 1.15.1. L’esempio contiene tre moduli funzionali: modulo di propagazione, modulo di servizio HTTP locale e modulo P2P.

/mnt/c/Users/brand/go/src/heh/attack.go
/mnt/c/Users/brand/go/src/heh/commands.go
/mnt/c/Users/brand/go/src/heh/structFun.go
/mnt/c/Users/brand/go/src/heh/cryptotext.go
/mnt/c/Users/brand/go/src/heh/httpserver.go
/mnt/c/Users/brand/go/src/heh/killer.go
/mnt/c/Users/brand/go/src/heh/main.go
/mnt/c/Users/brand/go/src/heh/network.go
/mnt/c/Users/brand/go/src/heh/peerlist.go
/mnt/c/Users/brand/go/src/heh/portkill.go
/mnt/c/Users/brand/go/src/heh/services.go
/mnt/c/Users/brand/go/src/heh/telnet.go

Gli esempi acquisiti sono stati originariamente scaricati ed eseguiti da uno script Shell dannoso denominato wpqnbw.txt, che scarica ed esegue i programmi dannosi per le diverse architetture CPU. Gli script dannosi sarebbero ospitati su pomf.cat,

I ricercatori di sicurezza – con la società cinese Qihoo 360 – dicono di aver individuato una nuova botnet IoT codificata con un comando per cancellare i dispositivi infetti. Ma si tratta di una prima analisi, su una botnet relativamente nuova – probabilmente nelle sue prime fasi di sviluppo – e i ricercatori di Netlab non possono ancora dire se “l’operazione di pulizia” del dispositivo è intenzionale o se è solo una routine di autodistruzione mal codificata. La cancellazione di tutte le partizioni riguarda anche il firmware o il sistema operativo del dispositivo, questa operazione ha il potenziale per bloccare i dispositivi, fino a quando il firmware o i sistemi operativi non vengono reinstallati.

Queto però non esclude che se questa funzione venisse attivata potrebbe portare alla distruzione, al blocco o al malfunzionamento di migliaia di dispositivi. Di quali dispositivi si parla? Router di casa, dispotitivi smart e IoT , server Linux e via dicendo. La botnet infatti può infettare qualsiasi cosa – utilizzando il protocollo Telnet sulle porte 23/2323 debolmente protette – ma il malware HEH funzionerebbe solo su piattaforme NIX. Heh utilizza un dizionario di password con 171 nomi utente e 504 password per tentare di prendere in consegna i dispositivi, come i router, che eseguono telnet.

L’analisi completa su NetlabBlog – HEH, a new IoT P2P Botnet going after weak telnet services

Leggi di più su DifesaSicurezza.com: P2P è il futuro delle botnet?