بات‌نت C0XMO از طریق آسیب‌پذیری روتر DD-WRT گسترش می‌یابد و بدافزارهای رقیب را از بین می‌برد

محققان شرکت فورتینت (Fortinet) یک نوع جدید از بات‌نت (botnet) گافگیت (Gafgyt) با نام C0XMO را شناسایی کرده‌اند که فریم‌ور (firmware) روترهای DD-WRT را هدف قرار می‌دهد و قادر است به دستگاه‌هایی با معماری‌های مختلف پردازنده از جمله ARM، MIPS، PowerPC و x86 گسترش یابد. این بدافزار از طریق بهره‌برداری از آسیب‌پذیری CVE-2021-27137، یک نقص سرریز بافر (buffer overflow) که نیازی به احراز هویت ندارد، منتشر می‌شود و از ۱۹ روش برای اجرای حملات اختلال سرویس توزیع‌شده (DDoS) پشتیبانی می‌کند؛ از جمله سیل‌های UDP/TCP/SYN/ICMP، تقویت NTP/Memcached و «پینگ مرگ» (ping of death).

C0XMO با طراحی ماژولار (modular) خود که امکان به‌روزرسانی مستقل تکنیک‌های بهره‌برداری را فراهم می‌کند، پیچیدگی بیشتری نسبت به نمونه‌های پیشین بات‌نت‌های اینترنت اشیا (IoT) دارد. این بدافزار با دانلود یک اسکریپت پایتون (Python) برای اسکن شبکه و حرکت جانبی (lateral movement) از طریق پروتکل‌های SSH و Telnet گسترش می‌یابد، خود را در مسیرهای پنهان کپی می‌کند، وظایف زمان‌بندی‌شده (cron jobs) برای اجرای مجدد هر ۱۵ دقیقه ایجاد می‌کند و بات‌نت‌های رقیب را از سیستم حذف می‌نماید. فورتینت توصیه می‌کند برای مقابله با این تهدید، دستگاه‌ها به‌روز نگه داشته شوند، از اعتبارنامه‌های مدیریتی منحصربه‌فرد استفاده شود و دسترسی از راه دور در صورت عدم نیاز غیرفعال گردد.