Составленный из IP-камер ботнет начал также атаковать уязвимые роутеры и системы управления базами данных.
Исследователи из китайской ИБ-компании Qihoo 360 обнаружили, что операторы IoT-ботнета HNS начали расширять свои владения за счет роутеров и серверов.
Бот-сеть HNS (Hide ‘N Seek), состоящая преимущественно из IP-камер, объявилась в Интернете в начале текущего года. На тот момент усилия ее операторов были направлены в основном на наращивание боевого потенциала, и внедряемые посредством эксплойта боты использовались лишь для проксирования трафика.
К маю HNS научился выживать после перезагрузки зараженного устройства — насколько известно, среди IoT-зловредов подобной цепкостью обладает лишь VPNFilter. Как оказалось, авторы бота на этом не остановились и решили превратить свое оружие в более универсальную угрозу.
Ныне HNS, по свидетельству Qihoo 360, способен эксплуатировать уязвимости не только в цифровых камерах и видеорегистраторах, но также в роутерах (TPLink, Netgear, Cisco Linksys) и СУБД (OrientDB, CouchDB). Исследователи зафиксировали связанную с HNS скан-активность на следующих портах:
- 23 — Telnet
- 80 — веб-сервис HTTP
- 2480 — OrientDB (похоже, речь идет об уязвимости CVE-2017-11467, которую использовал также ботнет DDG для загрузки майнера Monero)
- 5984 — CouchDB (CVE-2017-12636)
- 8080 — веб-сервис HTTP
Поскольку количество портов, проверяемых HNS, увеличилось, его деятельность стала более заметной. Кроме того, эта бот-сеть, как и Hajime, имеет p2p-структуру, поэтому она сильно выделяется среди IoT-аналогов, управляемых из единого центра, и ее легче идентифицировать.
Стремясь умножить армию зараженных устройств, ботоводы HNS не забывают о цели своего предприятия — получении дохода. По наблюдениям экспертов, на некоторые зараженные устройства в ботнета загружается майнер. Судя по всему, это проба пера: все попытки запуска генератора криптовалюты пока оказались провальными.