Nieuw botnet richt pijlen op embedded Linux IoT-apparaten

In tegenstelling tot traditionele botnets, die willekeurig het internet scannen, haalt PumaBot een lijst met doelwitten op van een command-and-control (C2)-server. Vervolgens probeert het via brute force-aanvallen inloggegevens te kraken. Zodra toegang is verkregen, installeert de malware zichzelf en begint het replicatieproces.

Eenmaal binnen een netwerk, vermomt PumaBot zich als legitieme software om detectie te ontwijken. Het voert fingerprintcontroles uit om honeypots en ongeschikte omgevingen te vermijden, en creëert backdoors voor langdurige toegang. Dit wijst op een doelbewuste campagne om kritieke systemen, zoals verkeersbeheersystemen, te compromitteren.

Conclusie en beschermingsmaatregelen

PumaBot vormt een aanhoudende dreiging die gebruikmaakt van SSH, automatisering en brute force-aanvallen om controle over systemen te behouden. Hoewel het zich niet automatisch verspreidt zoals een worm, repliceert het zich wel en streeft het ernaar meerdere apparaten te infecteren.

• Organisaties kunnen zich beschermen door:
• Het monitoren van afwijkende SSH-inlogpogingen.
• Het controleren van verdachte services en binaire bestanden op niet-standaardlocaties.
• Het filteren van uitgaande HTTP-verzoeken met verdachte headers.
• Het toepassen van strikte firewallregels om SSH-blootstelling te beperken.