Botnet JDY liên kết Trung Quốc mở rộng quy mô, nhắm mục tiêu thiết bị SOHO và IoT
"Security researchers reported that the China-linked JDY botnet has expanded to more than 1,500 compromised SOHO and IoT devices and is being used for large-scale reconnaissance, service fingerprinting, and continuous mapping of exposed services. The activity is associated with layered command-and-control infrastructure and abuse of end-of-life devices with suspected vulnerabilities, including models potentially affected by CVE-2023-20118, CVE-2022-32548, CVE-2023-24738, CVE-2021-36260, and a newly mentioned edge-device flaw CVE-2026-35616; mitigation centers on patching, replacing EoL devices, and blocking exposed management services."
Rủi ro cao từ hoạt động trinh sát quy mô lớn, nhắm mục tiêu vào các thiết bị EoL và lỗ hổng mới. Khả năng né tránh phát hiện cao.
Nguy cơ mất dữ liệu và gián đoạn dịch vụ trong tương lai do thông tin trinh sát được thu thập. Ảnh hưởng đến uy tín doanh nghiệp nếu bị khai thác.
Các nhà nghiên cứu bảo mật đã cảnh báo về sự tái xuất và mở rộng của botnet JDY, một mạng lưới bí mật được cho là có liên hệ với các tác nhân đe dọa do nhà nước Trung Quốc bảo trợ. Botnet này hiện bao gồm hơn 1.500 thiết bị SOHO và IoT bị xâm nhập, tăng từ 650 thiết bị vào đầu năm 2024. JDY hoạt động như một công cụ quét hiệu suất cao, được điều khiển tập trung để khám phá, định danh và lập bản đồ liên tục các dịch vụ bị phơi nhiễm trên quy mô lớn. Mục tiêu chính là thực hiện trinh sát có mục tiêu và định danh dịch vụ, đặc biệt nhắm vào các hạ tầng dễ bị tổn thương sau khi các lỗ hổng được công bố công khai. Điều này cho thấy một nỗ lực trinh sát công nghiệp hóa, với kết quả được các nhóm tấn công của Trung Quốc tận dụng.
Phần lớn các thiết bị nạn nhân là các thiết bị đã hết vòng đời (EoL) với các lỗ hổng đã biết. Các lỗ hổng nghi ngờ bao gồm CVE-2023-20118 (Cisco RV042), CVE-2022-32548 (DrayTek Vigor3900), CVE-2023-24738 (Araknis AN-300-RT-4L2W), CVE-2021-36260 (Hikvision IP cameras) và một lỗ hổng mới được đề cập là CVE-2026-35616. Botnet này sử dụng kiến trúc phân lớp, với các tác nhân sử dụng Tor nodes để quản lý cơ sở hạ tầng C2 và máy chủ tải trọng.
Để giảm thiểu rủi ro, các tổ chức được khuyến nghị vá lỗi kịp thời, thay thế các thiết bị EoL và chặn các dịch vụ quản lý bị phơi nhiễm ra internet. Sự phát triển của JDY cho thấy các botnet IoT/SOHO có khả năng thích ứng và tiếp tục cung cấp dữ liệu nhắm mục tiêu kịp thời cho các đối thủ, ngay cả sau các nỗ lực vô hiệu hóa.