2020-10-26 16:55 (월)
유명 라우터들 취약점 악용해 디도스 공격하는 Mozi P2P 봇넷…주의
상태바
유명 라우터들 취약점 악용해 디도스 공격하는 Mozi P2P 봇넷…주의
  • 길민권 기자
  • 승인 2019.12.27 14:48
이 기사를 공유합니다

패치되지 않은 기기 모델 10개 공격 및 감염시켜 P2P 봇넷 확대 중
Mozi 봇넷
Mozi 봇넷

360 Netlab의 보안 연구원들은 최근 자사 블로그를 통해, 넷기어(Netgear), 디링크(D-Link), 화웨이 라우터 등의 취약한 텔넷 패스워드를 찾는 새로운 P2P 봇넷인 Mozi가 발견 되었다고 밝혔다. 봇넷의 목적은 DDoS 공격을 실행이다.

이 봇넷은 Gafgyt 악성코드의 코드 중 일부를 재사용하고 있는 것으로 조사됐다.

이 봇넷은 토렌트 클라이언트 및 기타 P2P 플랫폼에서 노드 컨택트 정보를 저장하는데 흔히 사용하는 커스텀 확장 DHT(Distributed Hash Table) 프로토콜을 사용해 구현되었다.

이를 통해 서버를 사용하지 않고도 빠르게 봇넷의 네트워크를 설정할 수 있었다. 또한 대량의 정상적인 DHT 트래픽 속에 유효한 페이로드를 숨길 수 있어 관련 지식이 없을 경우 탐지가 불가능하도록 만들었다.

또한 Mozi는 봇넷 컴포넌트와 P2P 네트워크의 무결성 및 보안을 위해 ECDSA384, XOR 알고리즘을 사용하고 있다.

연구원들에 따르면, 이 악성코드는 새로운 취약한 기기로 전파하기 위해 텔넷 및 익스플로잇을 사용한다. 취약한 패스워드를 사용하는 타깃 라우터 또는 CCTV DVR에 로그인하여 패치되지 않은 호스트를 악용하는데 성공한 후 페이로드를 드롭 및 실행한다.

악성코드가 해킹된 기기에 로드 되면 새로이 활성화된 봇은 자동으로 Mozi P2P 네트워크에 새로운 노드로 참여하게 된다.

이후 새로운 봇 노드는 봇넷 주인으로부터 명령어를 받아 실행한다. 동시에 봇넷에 추가하기 위한 목적으로 다른 취약한 넷기어, 디링크, 화웨이 라우터를 검색한다.

Mozi 운영자는 다른 공격자가 봇넷을 빼앗아가지 못하도록 봇넷으로 전송되는 모든 명령 및 동기화된 구성을 자동으로 확인하도록 설정했다. 노드는 내부 확인 절차를 통과할 경우에만 이를 수용하고 실행한다.

360 Netlab의 연구원들은 9월 3일 첫 샘플을 발견한 이후 Mozi를 모니터링 해왔으며 Mozi가 아래 패치되지 않은 기기 모델 10개를 공격 및 감염시켜 P2P 네트워크에 추가한다고 밝혔다.

취약한 기기는 다음과 같다.

△Eir D1000 Router △Vacron NVR devices △Devices using the Realtek SDK △Netgear R7000 and R6400 △DGN1000 Netgear routers △MVPower DVR △Huawei Router HG532 △D-Link Devices △GPON Routers △D-Link Devices △CCTV DVR

Nugache, Storm (Peacomm), Sality P2P, Waledac, Kelihos (aka Hlux), ZeroAccess (Sirefef), Miner, Zeus P2P와 같은 P2P 봇넷은 약 2006년 초부터 주인을 위한 대규모의 군대를 모았지만 현재는 사라졌다. 하지만 Hajime Hide 'N Seek(HNS)와 같은 다른 봇넷들은 여전히 취약한 기기를 찾고 있다.

P2P 봇넷은 싱크홀 공격에 매우 탄력성이 높은 것으로 알려져 있지만 ZeroAccess, Kelihos와 같이 취약한 사례도 있다.

Mozi에 싱크홀 공격이 가능할지 여부를 알아내기 위해서는 더 많은 조사가 필요다. 현재 알약에서는 해당 악성코드에 대해 Backdoor.Linux.Gafgyt로 탐지중에 있다.

★정보보안 대표 미디어 데일리시큐!★

Tag
#봇넷