Le botnet Mozi s’est déconnecté pour des raisons inconnues

L’outil malveillant Mozi a disparu. Ce logiciel pour pirate informatique permettait de lancer des DDoS. Il s’est déconnecté mystérieusement !

Que s’est-il passé le 27 septembre 2023 dans les rouages de l’outil pirate Mozi. En quelques mots, Mozi est un botnet, un robot ayant pour mission de contrôler des milliers d’objets connectés non sécurisés par le monde afin de lancer des Dénis Distribués de Service [DDoS].

Des DDoS qui permettent de bloquer des sites web et des serveurs d’entreprises à grands coups de connexions malveillantes saturant l’informatique ciblée. Les experts émettent des hypothèses sur la fermeture mystérieuse du botnet Mozi, qui a été récemment éliminé à l’aide d’une « commande » spéciale conçus pour désactiver tous les robots dirigés par Mozi.

Ce botnet DDoS était connu de longue date, apparu en 2019, il ciblait principalement les appareils IoT tels que les routeurs, les DVR et autres gadgets connectés à Internet. Ce malware a utilisé des vulnérabilités connues et des mots de passe faibles pour compromettre les appareils et les inclure dans son réseau P2P, où ils communiquaient à l’aide du protocole BitTorrent DHT. En juin 2021, la société chinoise de cybersécurité Qihoo 360 a signalé que Mozi comptait environ 1,5 million d’appareils infectés, dont plus de 800 000 en Chine.

Quelques semaines plus tard, la société a révélé qu’elle avait aidé les forces de l’ordre à arrêter les développeurs présumés de Mozi, tout en notant que le botnet lui-même resterait probablement viable et continuerait à fonctionner. Comme le rapportent les experts d’ESET, une forte baisse de l’activité de Mozi a commencé le 8 août 2023, d’abord par l’arrêt de toutes les opérations des réseaux de zombies en Inde. Cela a été suivi le 16 août 2023 par un arrêt soudain similaire en Chine, le pays d’origine du botnet. Enfin, le 27 septembre 2023, tous les robots Mozi ont reçu huit fois le même message UDP, leur demandant de télécharger une mise à jour via HTTP, ce qui a abouti à l’élimination du processus malveillant Mozi ; la désactivation de certains services système (sshd et dropbear) ; le remplacement du fichier Mozi ; l’exécution de commandes de configuration sur l’appareil ; le blocage de l’accès à divers ports. Une destruction contrôlée.

La personne qui a activé le « bouton » a décidé de préparer les systèmes infectés à une nouvelle charge utile capable d’envoyer une requête ping à un serveur distant.

Record de DDoS : plus de 70 heures

Pendant ce temps, on apprend que le record de durée des attaques DDoS a été de plus de 70 heures, non-stop ! Les experts de Qrator Labs expliquent que la durée des attaques DDoS a fortement augmenté et le secteur financier a le plus souffert des attaques lors du 3ème trimestre 2023. La durée des attaques a changé par rapport au deuxième trimestre. Par exemple, la durée moyenne des attaques était de 66 minutes, soit 19 minutes de plus et comparable au résultat du premier trimestre.

Cependant, la durée maximale des attaques a établi un premier record cette année, dépassant même celle du quatrième trimestre de l’année dernière, où l’attaque la plus longue avait duré près de 70 heures. Fin août, une attaque a eu lieu contre des entreprises de transport (aéroports, Etc.) et est devenue l’attaque continue la plus longue de cette année, durant près de trois jours (71 heures 58 minutes).

Il est à noter qu’il s’agissait d’une attaque complexe multi vecteurs – UDP + SYN + TCP, qui présente les caractéristiques d’une attaque sur mesure.