Phorpiex Botnet Kaappasi 3 000 Kryptovaluuttamaksua

Viimeisen viiden vuoden aikana Phorpiex-bottiverkko on kaapannut noin 3 000 kryptovaluuttasiirtoa ja varastanut satoja tuhansia dollareita Check Pointin mukaan.

Bottiverkko nousi kuuluisuuteen vuonna 2016 seksiä käyttävien roskapostikampanjoiden myötä. Vuonna 2019 sen uskottiin saastuttaneen yli miljoona laitetta ympäri maailmaa.

Siitä huolimatta sen aktiivisuus hiipui nopeasti kesällä 2021 ja elokuun lopulla operaattorit kertoivat myyvänsä bottiverkon.

Muutamaa viikkoa myöhemmin bottiverkon kontrolliserverit saivat uuden IP-osoitteen ja alkoivat jakaa uutta bottia nimeltään Twizt, joka on vaihdettu henkilöltä toiselle malliin eikä käytä enää keskitettyjä C&C-servereitä.

Check Priorityn turvallisuuden tutkijoiden mukaan Twizt-botti pystyy muokkaamaan kodin reitittimiä, joissa on UPnP-tuki, vastaanottamaan tulevia yhteyksiä, joka taas tekee bottiverkosta kestävämmän.

Phorpiex on levinnyt 96 maahan. Eniten uhreja on Etiopiassa, Nigeriassa ja Intiassa. Vaikka tartunnan saaneiden laitteiden määrä on pysynyt lähes samana vuosien varrella, bottiverkko on onnistunut laajenemaan muutamien viime kuukausien aikana.

Bottiverkko on osannut tehdä kryptosieppauksia, haittaohjelmien jakoa ja roskapostin lähettämistä jo pitkään. Twizt-tyyppi sisältää kryptoleikkurin, joka tukee yli 30 lompakkoa eri lohkoketjuille. Esimerkiksi Bitcoin, Dash, Dogecoin, Ethereum, Monero ja Zilliqa.

Ominaisuuden avulla Phorpiex pystyy varastamaan rahaa kryptosiirtojen aikana korvaamalla vastaanottajan lompakon, joka on tallennettu työpöydälle, hyökkääjän lompakolla.

Check Point on tunnistanut 60 uniikkia Bitcoin-lompakkoa ja 37 Ethereum-lompakkoa, joita bottiverkon operaattorit käyttävät.

Arviolta Phorpiex on napannut 969 siirtoa marraskuun 2020 ja marraskuun 2021 välillä. Se tarkoittaa lähes puolta miljoonaa dollaria.

Vuoden 2016 jälkeen bottiverkon uskotaan siepanneen noin 3 000 siirtoa Bitcoineissa ja Etherillä. Jos muut lohkoketjut otetaan huomioon, niin numero voi olla korkeampi.

Keskimääräinen varastettu summa kryptovaluuttaa on kohtalaisen pieni. Summa on myös laskenut kryptovaluutan hinnan noustessa.

Aikaisemmin Phorpiex sai suuren päivityksen, joka muutti sen P2P-bottiverkoksi. Se pystyi toimimaan ilman keskitettyä infrastruktuuria. C&C-serverit voivat nyt vaihtaa IP-osoitetta ja antaa komentoja, piiloutua bottiverkon uhrien joukkoon, Check Point kertoi.