Tehdit aktörleri, Tox eşler arası anlık mesajlaşma hizmetini bir komut ve kontrol yöntemi olarak kullanmaya başladı ve fidye yazılımı müzakereleri için bir iletişim yöntemi olarak önceki rolünden bir kaymaya işaret ediyor.
Bot olarak işlev gören ve Tox protokolünü kullanarak güvenliği ihlal edilmiş ana bilgisayarda komut dosyaları çalıştırabilen bir Yürütülebilir ve Bağlanabilir Biçim (ELF) yapıtını (“72 istemci”) analiz eden Uptycs’in bulguları.
Tox, şifreleme ve kimlik doğrulama için Ağ Oluşturma ve Kriptografi kitaplığını (NaCl, “tuz” olarak telaffuz edilir) kullanarak uçtan uca şifreleme (E2EE) korumaları sunan çevrimiçi iletişim için sunucusuz bir protokoldür.
Araştırmacılar Siddharth Sharma ve Nischay Hedge, “Vahşi doğada bulunan ikili, soyulmuş ancak dinamik bir yürütülebilir dosyadır ve derlemeyi kolaylaştırır.” Dedi. “Bütün ikili dosya C’de yazılmış gibi görünüyor ve yalnızca c-toxcore kitaplığına statik olarak bağlandı.”
c-toxcore’un Tox protokolünün referans uygulaması olduğunu belirtmekte fayda var.
Uptycs tarafından üstlenilen tersine mühendislik, ELF dosyasının Linux’ta geçici dosya oluşturmak için kullanılan bir dizin olan “/var/tmp/” konumuna bir kabuk betiği yazmak ve onu başlatmak, öldürmek için komutları çalıştırmasını sağlamak için tasarlandığını gösteriyor. kripto madenciliği ile ilgili süreçler.
Ayrıca, sonuçları daha sonra UDP üzerinden bir Tox alıcısına gönderilen bir dizi belirli komutu (örn., nproc, whoami, makine kimliği, vb.) çalıştırmasını sağlayan ikinci bir rutin de yürütülür.
Ek olarak, ikili, kabuk betiğinin güncellendiğine veya geçici olarak yürütüldüğüne bağlı olarak Tox aracılığıyla farklı komutlar alma yetenekleriyle birlikte gelir. Verilen bir “çıkış” komutu Tox bağlantısından çıkar.
Tox, geçmişte fidye yazılımı aktörleri tarafından bir iletişim mekanizması olarak kullanılmıştır, ancak en son gelişme, protokolün virüslü bir makinede rastgele komut dosyaları çalıştırmak için ilk kez kullanıldığına işaret ediyor.
Araştırmacılar, “Tartışılan örnek açıkça kötü niyetli bir şey yapmasa da, bunun bir madeni para madenciliği kampanyasının bir bileşeni olabileceğini düşünüyoruz” dedi. “Bu nedenle, saldırı zincirlerinde yer alan ağ bileşenlerini izlemek önemli hale geliyor.”
Açıklama, IPFS olarak bilinen merkezi olmayan dosya sistemi çözümünün, yayından kaldırma işlemlerini daha zor hale getirmek amacıyla kimlik avı sitelerini barındırmak için giderek daha fazla kullanıldığına dair raporların ortasında geldi.