LunoC2: Un Botnet Linux Care Combină Cryptomining și Atacuri DDoS

În acest material discutăm despre LunoC2, un botnet Linux care „minează” folosind resursele hardware ale persoanei infectate, dar și participă în atacuri de tip DDoS, ca parte dintr-o flotă de boți.

Cercetătorii de la Cyble Research and Intelligence Labs (CRIL) au identificat un botnet sofisticat care vizează sistemele Linux, denumit Luno. Acesta este capabil să combine mai multe funcționalități malițioase, printre care se numără minarea de criptomonede, execuția de comenzi de la distanță și lansarea a zeci de tipuri diferite de atacuri DDoS.

Potrivit analizei, malware-ul prezintă caracteristici care îl diferențiază de campaniile obișnuite de cryptomining sau de botneturile utilizate pentru DDoS. Printre acestea se numără tehnici avansate de mascare a proceselor, înlocuire a fișierelor binare și un sistem de auto-actualizare, indicii clare că este vorba despre o infrastructură criminală dezvoltată pe termen lung.

Funcționalități complexe și model de monetizare

Actorii din spatele campaniei rămân necunoscuți, însă CRIL a observat că servicii DDoS sunt deja oferite spre vânzare pe un canal Telegram creat la sfârșitul lunii iulie. Arhitectura botnetului și modelul de preț sugerează o strategie gândită pentru monetizare pe termen lung și flexibilitate operațională.

Printre caracteristicile sale se regăsesc parametri ajustabili pentru atacuri – precum alegerea țintei, metoda, durata și numărul de fire de execuție – dar și rutine dedicate pentru servere de jocuri populare precum Roblox, Minecraft și Valve. Acest lucru arată că malware-ul este orientat spre un model „botnet-for-hire”, destinat clienților interesați să plătească pentru atacuri personalizate.

Exploatarea resurselor și funcții anti-analiză

Pe lângă atacurile de tip DDoS, Luno descarcă și rulează minerul xmrig de pe un server malițios, suprascriind fișierul /bin/ash. Deoarece ash este shell-ul implicit în multe distribuții Linux destinate sistemelor cu resurse limitate, această tehnică sugerează că botnetul vizează în special dispozitive embedded sau servere cu putere de calcul redusă.

Malware-ul include și mecanisme de detecție a mediilor de analiză, verificând prezența debuggerelor, a instrumentelor de monitorizare și a posibilelor anomalii în interfețele de rețea. În cazul în care sunt identificate condiții suspecte, codul malițios încearcă să se șteargă automat, pentru a reduce șansele de a fi investigat.

Capacități avansate de atac DDoS

Componenta principală responsabilă de atacuri, denumită DDoS_attack_launcher, include peste 20 de module diferite de flood. Printre acestea se numără metode avansate precum udp-bypass și tcp-bypass, care pot randomiza dimensiunea pachetelor și porturile pentru a evita detectarea prin reguli de semnătură.

De asemenea, malware-ul are capacitatea de a genera HTTP GET flood-uri ce imită traficul real de browser, folosind antete și agenți utilizator randomizați, alături de o listă hardcodata de peste 100 de refereri legitimi. Această tehnică îi permite să treacă de soluțiile simple de filtrare a traficului.

Cercetătorii au descoperit și funcții dedicate pentru jocuri online, precum atacuri împotriva serverelor Minecraft, pachete QUIC folosite în Valorant și exploatarea protocolului RakNet, utilizat de mai multe motoare de gaming. Prin simularea unui handshake RakNet valid, atacurile pot trece drept trafic legitim, consumând resursele serverului-țintă.

O amenințare de lungă durată pentru Linux

Cyble atrage atenția că LunoC2 nu este doar un experiment izolat, ci o infrastructură malițioasă proiectată pentru reziliență, modularitate și profitabilitate. Capacitatea sa de a combina furtul de resurse prin cryptomining cu atacuri DDoS la comandă îl face o amenințare de lungă durată pentru serverele Linux expuse public și, în special, pentru platformele de găzduire a jocurilor.

În raportul complet, cercetătorii oferă indicatori de compromitere (IoC) și recomandări pentru echipele de securitate. Ei subliniază că organizațiile ar trebui să trateze LunoC2 ca pe o amenințare serioasă și persistentă, care necesită măsuri de apărare pro-active și monitorizare constantă.

Concluzie

Chiar dacă sistemele Linux sunt, prin construcție, mai sigure decât cele Windows, ele nu sunt indestructibile. Campanii precum LunoC2 demonstrează că actorii cibernetici își îndreaptă tot mai mult atenția spre această platformă, exploatând serverele expuse online și resursele lor hardware.

Protejarea infrastructurii Linux presupune o abordare echilibrată și constantă: utilizarea unui antivirus adaptat mediului server, aplicarea regulată a patch-urilor de securitate și configurarea unor permisiuni corecte pentru utilizatori și procese.

Aceste măsuri simple, dar eficiente, reduc considerabil riscul de compromitere și asigură reziliența sistemelor pe termen lung.

Dacă aveți nevoie de ajutor pentru securizarea și actualizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.