Мрежата от компрометирани SOHO и IoT устройства нараства до над 1500 бота

Изследователи от Black Lotus Labs (Lumen Technologies) съобщават за значително разширяване на активността на JDY, мрежа от заразени устройства, която се свързва с китайски държавно асоциирани заплахи, включително групата Volt Typhoon.

Според анализа ботнетът вече е еволюирал от сравнително ограничена инфраструктура до глобална разузнавателна система, която се използва за бързо идентифициране на уязвими системи след публично разкриване на CVE уязвимости.

Ръст и географски фокус върху САЩ

Данните показват, че JDY е нараснал от приблизително:

• 650 активни устройства (януари 2024);
• до над 1500 компрометирани SOHO и IoT устройства към момента.

Основният фокус на операторите остава Съединените щати, където се наблюдава най-висока концентрация на заразени устройства, включително такива, свързани с военни и свързани инфраструктури.

Това подсказва целенасочена стратегия за разузнаване на критична инфраструктура, а не класическа киберпрестъпна дейност.

Каква е ролята на JDY в атакуващата екосистема

За разлика от традиционните ботнети, използвани за DDoS атаки или масово разпространение на зловреден код, JDY функционира като:

• разпределена система за сканиране;
• платформа за събиране на отпечатъци (fingerprinting);
• механизъм за идентифициране на уязвими услуги;
• инструмент за бърза реакция след публични разкрития на уязвимости.

Основната цел не е директна атака, а подготовка на терена за последваща експлоатация от APT групи.

Технически възможности на ботнета

JDY поддържа широк набор от функции за мрежово разузнаване, включително:

• TCP сканиране;
• UDP сканиране;
• ICMP probing;
• SSL/TLS анализ;
• събиране на сървърни банери;
• извличане на TLS сертификати;
• протоколно fingerprinting с динамични правила.

Бърза реакция след нови уязвимости

Според Black Lotus Labs операторите реагират изключително бързо на новоразкрити уязвимости.

Пример за това е наблюдаваното сканиране на CVE-2026-35616 малко след публичното ѝ обявяване, свързано с Fortinet FortiClient EMS.

Това поведение показва висока степен на автоматизация и интеграция с процесите за разузнаване на експлойти.

Инфраструктура за командване и контрол

JDY използва сравнително сложна C2 архитектура:

• управление чрез скрити Tor услуги;
• централизирана „Dispatch Service“ система;
• разпределение на сканиращи задачи към бот клиентите;
• връщане на компресирани резултати към операторите.

В някои случаи се използва и open-source рамката Platypus, която предоставя допълнителни възможности за управление на компрометирани хостове.

Как работи сканирането

Една от най-интересните технически характеристики на JDY е неговият TCP сканиращ модул.

Когато има достатъчни привилегии, ботът използва:

• raw sockets;
• SYN сканиране с висока скорост;
• персонализирани TCP пакети;
• фиксиран изходящ порт (19000);
• последователно обхождане на портове.

Това позволява бързо, мащабируемо и сравнително дискретно картографиране на уязвими системи.

Засегнати устройства и платформи

JDY е наблюдаван върху широка гама от устройства, включително:

• Cisco;
• Ubiquiti;
• DrayTek;
• Hikvision;
• Linksys;
• Araknis;
• Mimosa Networks.

Засегнатите архитектури включват:

• MIPS;
• MIPS64;
• MIPSEL;
• MIPSEL64.

Стратегическо значение и връзка с Volt Typhoon

Според изследователите JDY се вписва в по-широка екосистема, свързана с Volt Typhoon, известна с фокус върху:

• критична инфраструктура;
• държавни и военни мрежи;
• дългосрочен шпионаж вместо директни разрушителни атаки.

JDY действа като „очите и ушите“ на тази екосистема – инструмент за масово разузнаване на интернет експозицията.

Препоръки към организациите

Експертите по сигурност препоръчват следните мерки:

• редовно обновяване на firmware на рутери и IoT устройства;
• премахване на публично достъпни административни интерфейси;
• забрана на стандартни или фабрични пароли;
• ограничаване на remote management достъпа;
• мониторинг за необичаен изходящ сканиращ трафик;
• сегментация на мрежата.

JDY ботнетът демонстрира нов етап в еволюцията на зловредните инфраструктури – от класически ботнети към разузнавателни платформи за автоматизирано откриване на уязвимости.

Това го превръща в ключов компонент на съвременните APT операции, при които скоростта на реакция след публикуване на уязвимост е критичен фактор за успех.