Відродження Moobot: аналіз витоку інфраструктури

Сучасні кіберзловмисники створюють комплексні екосистеми, об’єднуючи різні вектори атак на одному сервері. На виявленому хості одночасно розміщувалися вихідний код Moobot, незалежна панель керування DDoS-атаками «StresD Pro+» та шахрайський сервіс для верифікації китайських громадян. Така концентрація інструментів свідчить про оптимізацію тіньового бізнесу за моделлю «кіберзлочинність як послуга» (CaaS). Це значно знижує поріг входу для нових зловмисників, дозволяючи їм розгортати масштабні атаки з мінімальними зусиллями.

Дослідження відкритої директорії дозволило компанії Censys детально вивчити оновлену версію Moobot, який є похідним від відомого ботнету Mirai. Код містить ідентичні маркери з попередніх кампаній, зокрема заголовок пакету 0x336699 та 32-символьний ключ генерації. Проте найважливішою знахідкою стала раніше невідома «спляча» функція завантаження та виконання (download-and-execute). Дослідники припускають, що саме ця функція дозволила угрупованню APT28 свого часу перехопити контроль над ботнетом для доставки власного шкідливого навантаження на вже скомпрометовані пристрої.

Окрім Moobot, на сервері функціонувала панель керування «StresD Pro+», яка генерує трафік відмови в обслуговуванні (DoS) безпосередньо з локального сервера. Для цього використовується спеціальний Python-скрипт, націлений на сервери Minecraft Bedrock Edition через протокол RakNet. Інший виявлений сервіс — система підробки державних ідентифікаторів, яка перепродає доступ до стороннього API. Цей інструмент дозволяє зловмисникам валідувати вкрадені персональні дані громадян, що розширює можливості для подальшого шахрайства.

Журнали, знайдені на сервері, демонструють високу активність операторів у реальному часі. Лише за один день панель «StresD Pro+» зафіксувала 32 унікальні атаки від різних користувачів. Цікавим фактом є те, що адміністратори сервісу ретельно збирають цифрові відбитки власних клієнтів: фіксують IP-адреси, параметри екрана, кількість ядер процесора та дані браузера. Станом на серпень 2026 року аналітики також зафіксували щонайменше один активний C2-сервер Moobot в Амстердамі, який видав понад 500 завдань на атаку.

Витік коду Moobot та активність супутніх сервісів доводять, що заблоковані раніше загрози здатні швидко відновлюватися завдяки комерціалізації шкідливого ПЗ. Сучасному бізнесу необхідно переходити від базового захисту до проактивної архітектури безпеки, яка включає постійний моніторинг, розвідку загроз (Threat Intelligence) та своєчасне виявлення прихованої інфраструктури. Надійний захист вимагає комплексного підходу та залучення спеціалізованих рішень.

Компанія iIT Distribution як дистриб’ютор рішень з кібербезпеки забезпечує повний цикл підтримки партнерів та клієнтів. Команда iITD допомагає у проєктуванні архітектури безпеки, підборі оптимального обладнання та програмного забезпечення для захисту від складних загроз. Завдяки експертній оцінці, технічним консультаціям та навчанню фахівців, iIT Distribution стає невіддільною частиною команди партнера, забезпечуючи успішне впровадження та супровід безпекових проєктів будь-якої складності.