سلام بچه‌ها این یه مقاله هستش که اومده یه بات نتی رو بررسی کرده که برای kimwolf بوده، به اصطلاح این شرکت اومده جدیداً اندروید باکس‌ها و اندروید تی‌وی‌ها رو آلوده کرده، به این صورت که بعضی از این اندروید باکس‌ها و اندروید تیوی‌ها به صورت پیش فرض روی پورت 5555 ADB debuging رو باز گذاشتند و از طریق شبکه adb این دستگاه‌ها بدون authentication قابل دسترس بودن و اینا اومدن این دستگاه‌ها رو پیدا کردن و این بات نت رو روشون نصب کردن و آلوده کردن.

حالا روند فعالسازی کارشون و بات نتشون به کنار، این نسخه نسخه ورژن ۷عه و اینکه یه روند رو به رشدی داشته، حالا اون‌ها رو می‌تونید داخل مقاله بخونید، اما دو تا حرکت خیلی جالب زدند.

یکی اینکه آدرس سرور به قول معروف فرماندهی یا C2شون به صورت plaintext یا به صورت رمز شده داخل بات نتشون قرار ندادن و اومدن از شبکه اتریوم استفاده کردند و ۴ تا آدرس پابلیک رو قرار دادن و از طریق شبکه اتریوم اومدن به آدرس سرورهای خودشون رسیدن.

دومین کاری که به نظر من جالب بود انجام دادن این بوده که از browser fingerprint استفاده کردن. اول باید مبحث بروزر فینگر پرینت رو براتون باز کنم.

یه مبحثی هست به اسم بروزر فینگر پرینت و اون هم اینه که شما میای browserتو تغییر میدی، یعنی فینگر پرینت بروزرتو تغییر میدی، طوری که سایت مقصد نفهمه کی هستی و چی هستی و چیکار داری می‌کنی. مثلاً میای اینطور اوکی میکنی که سیستم عاملت ویندوزه اما می‌تونی یه جوری مشخص کنی که سیستم عاملت لینوکسه و کشورتم داخل لوکزامبورگه به عنوان مثال و علاوه بر اینکه میاد یه دونه پروکسیست می‌کنه که آی پییت بره اونجا بیفته میاد ساعت سیستمتو فینگر پرینت بروزرتو سیستم عامل بروز تو و کلی چیزای دیگه رو تغییر میده که واقعاً انگار یه کاربر با لینوکس سیستم هستی توی لوکزامبورگ

حالا این بات نت اومده چیکار کرده اومده از بروزر فینگر پرینت استفاده کرده و این اندروید تی‌وی‌ها را به عنوان بروزرهای مختلف و سیستم عامل‌های مختلف به سایت‌ها معرفی کرده که سایت‌ها شک نکنن این درخواست‌ها که داره میاد از یه اندروید تی وی داره میاد و حمله DDOS که می‌خوان انجام بدن، خیلی شکیل‌تر و قشنگ‌تر و قابل اعتمادتر باشه.

ببخشید یه مقدار طولانی شد باید توضیحاتشو می‌دادم، ممنون که خوندید، لینک مقاله رو پایین گذاشتم اگه خواستید می‌تونید برید دقیق‌تر بررسیش کنید.

📌 مقاله کامل Unit 42:
https://unit42.paloaltonetworks.com/kimwolf-v7-botnet-malware/

📢 کانال:
@androidSec_fa