Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Entre os recentes avanços em segurança cibernética, uma nova botnet baseada no Mirai conhecida como Mirai NoaBot , surgiu, representando uma ameaça significativa aos servidores Linux desde o início de 2023. Os dados de telemetria da Akamai, obtidos a partir de honeypots, revelam um crescimento constante nas infecções pelo NoaBot, com um pico registrado no mês passado.
Esta postagem do blog aborda os detalhes do alerta da FTC sobre o malware NoaBot, esclarecendo sua origem, modo de operação e as medidas que as organizações podem adotar para proteger seus sistemas
Revelando as táticas do Mirai NoaBot
Pesquisadores da Akamai descobriram que o NoaBot utiliza ataques de dicionário com credenciais SSH para se deslocar lateralmente. Com mais de 800 endereços IP únicos apresentando sinais de infecção em todo o mundo, 10% dessas instâncias são rastreadas até a China. O NoaBot explora vulnerabilidades em servidores SSH frequentemente ignoradas pelas organizações – as boas e velhas credenciais SSH. O alerta da FTC sobre ataques a servidores de criptomoedas destaca o cenário crescente de ameaças no espaço digital.
A evolução do Mirai para o NoaBot
O Mirai, que surgiu inicialmente como uma botnet de DDoS em 2016, abriu caminho para as botnets autopropagáveis do Linux que surgiram posteriormente, sendo que algumas delas se concentraram em ataques DDoS, outras na mineração de criptomoedas e algumas em ambas. O NoaBot, um derivado do Mirai, se destaca por suas modificações, principalmente pela substituição do scanner Telnet por um scanner SSH.
Essa mudança faz sentido, já que os servidores Linux, ao contrário dos dispositivos embarcados, costumam ter o SSH habilitado. Portanto, a proteção contra o Mirai NoaBot é fundamental para garantir a segurança dos servidores Linux diante das ameaças cibernéticas em constante evolução.
Recursos exclusivos do NoaBot
Os criadores do NoaBot implementaram alterações significativas no código-fonte do Mirai, garantindo uma identidade distinta. Eles substituíram o compilador GCC pelo uClib, tornando seu código binário significativamente diferente do do Mirai. Notavelmente, o scanner SSH do NoaBot deixa uma assinatura clara — ao estabelecer uma conexão SSH, o cliente da botnet envia a mensagem não convencional “hi”, que pode ser usada para criar uma assinatura de firewall.
Mecanismos de persistência e funcionalidade de backdoor
O NoaBot apresenta um mecanismo de persistência chamado “noa”, garantindo sua presença contínua mesmo que a autenticação por senha esteja desativada. Esse mecanismo envolve a adição de uma chave controlada pelo invasor às chaves autorizadas do SSH. Além disso, o malware de mineração de criptomoedas atua como um backdoor, baixando arquivos binários adicionais e criando uma entrada no crontab para garantir que seja iniciado após a reinicialização do sistema.
Ataques a servidores de mineração de criptomoedas
O NoaBot incorpora o XMRig, um programa de código aberto amplamente utilizado para mineração de criptomoedas. Os autores da ameaça por trás do NoaBot, no entanto, fizeram modificações avançadas no XMRig, ocultando e criptografando sua configuração, especialmente o endereço IP do pool de mineração. Notavelmente, os pesquisadores especulam que os autores da ameaça operam um pool privado, eliminando a necessidade de especificar uma carteira e, assim, mantendo o controle sobre a criptomoeda coletada.
Conexão P2PInfect
Os pesquisadores da Akamai identificaram uma possível conexão entre os criadores do NoaBot e uma versão personalizada do P2PInfect, um worm autorreplicável escrito em Rust. O P2PInfect tem como alvo servidores Redis, explorando uma vulnerabilidade do Lua.
Embora ainda não esteja claro por que os autores da ameaça mudaram do Mirai para o P2PInfect, os pesquisadores sugerem que o uso de código personalizado pode indicar uma intenção de aumentar a dificuldade da engenharia reversa.
Protocolos de Proteção do Mirai NoaBot
Segurança cibernética para servidores SSH é um aspecto fundamental para proteger dados confidenciais e manter a integridade da rede. A equipe da Akamai compartilhou proativamente uma lista de indicadores de comprometimento em seu repositório do GitHub, juntamente com assinaturas de detecção YARA personalizadas para identificar binários do NoaBot.
Além de utilizar esses recursos, recomenda-se enfaticamente que as organizações adotem práticas padrão de fortalecimento do SSH. Isso inclui restringir o acesso ao SSH a endereços IP confiáveis e implementar a autenticação baseada em chave, medidas eficazes contra ataques de dicionário.
Conclusão
À medida que o cenário da segurança cibernética continua a evoluir, as ameaças cibernéticas do Mirai NoaBot destacam a importância de medidas proativas de defesa. Ao compreender as táticas empregadas por essas redes de bots e adotar as melhores práticas, as organizações podem fortalecer seus sistemas contra acessos não autorizados, vazamentos de dados e possíveis interrupções. Vigilância, monitoramento contínuo e adesão aos protocolos de segurança são fundamentais para a proteção contra os riscos de segurança dos dispositivos IoT, que estão em constante evolução riscos à segurança dos dispositivos IoT.
As organizações devem manter-se informadas sobre as atividades maliciosas na mineração de criptomoedas e aproveitar os recursos disponíveis para detecção e prevenção. Além disso, elas também devem considerar soluções automatizadas de aplicação de patches para minimizar o tempo de inatividade e garantir protocolos de segurança robustos.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e CSO.
