Reverse Engineering
Mirai-Quellcode zeigt Tarnung und Instanzkontrolle
Eine Analyse des Mirai-Quellcodes zeigt, wie das Schadprogramm seine Datei löscht, den Geräte-Neustart verhindert und sich in der Prozessliste tarnt. Der Startablauf verdeutlicht die wichtigsten Tarnmechanismen des bekannten IoT-Botnets.
- Mirai löscht beim Start seine eigene Programmdatei vom Datenträger, läuft aber weiterhin im Arbeitsspeicher.
- Das Schadprogramm deaktiviert den Watchdog, damit intensives Scannen keine automatische Geräte-Neustart auslöst.
- Zufällige Prozessnamen und eine feste Portbindung dienen der Tarnung und der Kontrolle über mehrere Instanzen.
Die Quellcode-Analyse gibt den Start des Botnets und die Rollen seiner Module für Scannen, Konkurrenzverdrängung, Angriffe und Konfiguration wieder. Für kleine Betriebe mit vernetzten IoT-Geräten zeigt sie, dass Dateinamen und Prozesslisten allein keine verlässliche Erkennung manipulierter Geräte bieten.
Quelle: bbs.kanxue.com/thread-293300.htm