Злоумышленники создают ботнет из уязвимых гаджетов под Android
TCP-порт 5555 предназначается для управления устройствами через Android Debug Bridge (ADB) — функцию Android SDK, позволяющую девелоперам работать с устройствами, запускать на них команды или полностью их контролировать.
Порт ADB должен быть отключен на большинстве устройств, а для его активации необходимо подключение через USB. Однако, по словам исследователей, многие устройства поставляются с включенным ADB, делая их уязвимыми к атакам.
Ранее эксперты уже фиксировали атаки на порт ADB в январе текущего года. В ходе кампании злоумышленники использовали модифицированную версию вредоносного ПО Mirai. Вредонос осуществлял поиск устройств с открытым портом 5555 для создания ботнета, позволяющего майнить криптовалюту.
Летом текущего года специалисты обнаружили новый эксплоит, который также нацелен на порт 5555. Исследователи зафиксировали резкий рост активности 9-10 июля, а вторая — 15 июля. Атаки велись преимущественно из США, Китая и Кореи.
После заражения устройств вредоносное ПО завершает ряд процессов и запускает свои собственные, один из которых отвечает за дальнейшее распространение программы и соединение с C&C-сервером.
В ходе поиска исследователи выявили более 48 тыс. устройств уязвимых для эксплуатации через порт 5555. Однако не все из них могут быть скомпрометированы, так как некоторые гаджеты подключены через маршрутизаторы, использующие механизм преобразования сетевых адресов (Network Address Translation, NAT).