0xNews - 안드로이드 기반 기기를 대상으로 하는 신종 봇넷 경고

Qihoo360 의 Netlab 연구팀 발표

Matryosh 로 명명

Mirai 봇넷 프레임워크 Botnet Framework 재사용

노출된 안드로이드 디버그 브리지 ADB Android Debug Bridge 인터페이스를 통해 전파

안드로이드 기기를 감염시키고 네트워크 변경 못하게 강제 고정

ADB 는 통신을 처리하고 개발자가 안드로이드 기기에 앱을 설치하고 디버그 할 수 있도록 하는 안드로이드 SDK 의 CLI Command-Line Tool

이 옵션은 대부분 안드로이드 스마트폰이나 태블릿에서 기본적으로 꺼져 있음

하지만 일부 공급업체는 이 기능이 활성화된 상태로 제공

인증되지 않은 공격자가 TCP 5555 포트를 통해 원격으로 접속

해당 기기를 직접 열어 악용 가능

2018년 7월 개방형 ADB 포트를 사용하여 Fbot 를 비롯한 여러 Saton 봇넷 변종을 확산

Fbot 와 Saton 분석 관련 사이트 링크

2019년 새로운 암호화폐 채굴형 봇넷 악성코드 발견

한국을 비롯한 대만, 홍콩, 중국 등에서 주로 발견

TrendMicro 에서 발표한 봇넷 관련 사이트 링크

이번 Matryosh 는 Tor 네트워크를 사용

악의적인 활동을 은폐

공격자가 제어하는 서버에서 네트워크를 통해 명령 전파

연구팀은 분석 결과 C2 서버 접속하는 과정에서 러시아 인형처럼 여러 층으로 중첩되어 있는 것으로 확인

Matryosh 는 우선 원격 호스트 이름을 해독

DNS TXT 요청을 사용하여 TOR C2 나 TOR 프록시를 획득

그 후 TOR 프록시와 연결을 설정하고 프록시를 통해 TOR C2 서버와 통신

서버에서 전달되는 추가 명령을 대기

DNS TXT 에 대한 CloudFlare 에서 제공하는 설명 사이트 링크

연구팀은 이번 분석 결과 Moobot 해커 그룹이 개발한 LeetHozer 이라는 다른 봇넷과 사용과 매우 유사하다고 파악

openLab