Обзор и происхождение
Mirai — известное семейство вредоносного кода, изначально создавшееся как ботнет для скомпрометированных Linux-устройств интернета вещей (камеры, роутеры, DVR) и прославившееся масштабными DDoS-атаками 2016 года, в том числе на DNS-провайдера, обслуживавшего крупные западные сервисы. Исходный код Mirai был опубликован в открытый доступ, что породило множество ответвлений и производных ботнетов (Satori, Okiru и многочисленные «Mirai-подобные» семейства), а также конкурирующую экосистему Hajime.
В контексте Windows-угроз подпись «Mirai» в MalwareBazaar и ThreatFox относится к компонентам, обслуживающим распространение этого ботнета: Windows-исполняемые файлы (в наблюдаемых записях — тег exe), которые выступают загрузчиками/доставщиками Mirai-нагрузки, а также URL-адреса серверов раздачи полезной нагрузки (категория payload_delivery). Malpedia связывает с семейством страницу в Windows-разделе, что подтверждает существование Windows-компонентов в экосистеме Mirai.
Основная цель семейства — сканирование и брутфорс-компрометация устройств по Telnet/SSH с последующей вербовкой в ботнет для DDoS-атак, сканирования и проксирования трафика. Windows-компоненты в этой цепочке выполняют роль «распространителя других вредоносных программ»: они скачивают и запускают ELF-бинарники Mirai, а иногда сами ведут сканирование внутренних сетей.
Функциональные модули
- Загрузчик полезной нагрузки: обращение к серверам раздачи (в IOC-записях — URL категории payload_delivery) и сохранение/запуск бинарника Mirai; в исследованных записях полезная нагрузка фиксируется как отдельный payload-индикатор с хэшем.
- Модуль брутфорса: словарь стандартных учётных данных для Telnet/SSH (унаследован от исходного Mirai), попытки входа на устройства в локальной сети и в интернете.
- Сканер/червеподобное распространение: перебор IP-адресов и портов 23/2323 (Telnet), реже SSH; на Windows-хостах это проявляется как аномальный исходящий трафик сканирования.
- Бот-компонент (на скомпрометированных устройствах): подключение к C2 по проприетарному бинарному протоколу, приём команд DDoS (UDP-flood, SYN-flood, ACK-flood, DNS/HTTP-амплификация) и команд самообновления.
Техники и API
Для Windows-компонентов характерны: запуск скачанного бинарника через CreateProcess/ShellExecute-подобные механизмы, работа с файловой системой через WriteFile для сохранения нагрузки, сетевые операции через WinHTTP/WinInet или напрямую через сокеты (WSAStartup/connect/send). Сам Mirai-бинарник (Linux) использует raw-сокеты и асинхронное сканирование, шифрование строк конфигурации (XOR-подобные схемы) и анти-анализ (отказ от работы в песочницах по ряду признаков). Точные API-последовательности конкретных Windows-образцов требуют статического анализа и в текущих источниках не описаны.
IOC и индикаторы
ThreatFox содержит 4 IOC-записи для Mirai: типы — sha256_hash и url; категории активности — payload и payload_delivery; теги — exe и Mirai. URL-индикаторы указывают на серверы раздачи полезной нагрузки, хэши — на исполняемые образцы. Даты наблюдений указывают на продолжающуюся активность инфраструктуры. Конкретные значения индикаторов не публикуются в тексте; карточки образцов предоставлены ниже скрытым блоком рендерера.
Обнаружение
- Сетевое: исходящие соединения на порты 23/2323 с попытками аутентификации Telnet — сильный признак сканера Mirai; массовые TCP SYN к широким диапазонам адресов с одного хоста.
- SIEM/EDR: создание исполняемого файла процессом, получившим его по сети, с последующим немедленным запуском; обращение Windows-процесса к URL раздачи ELF-бинарников.
- Файловое: ELF-бинарники в нетипичных каталогах Windows-хоста; YARA-правила на строки словарей брутфорса и характерные XOR-декодеры Mirai (семейные, а не побайтовые сигнатуры).
- Сетевые сигнатуры Suricata/Zeek на проприетарный C2-протокол Mirai и известные пакеты сканирования.
Защита и снижение риска
- Запретить Telnet (23/2323) на периметре и между сегментами; закрыть управление устройствами из интернета.
- Инвентаризация IoT/сетевых устройств и смена всех заводских учётных данных; отключение слабых паролей.
- Сегментация: выделить IoT в отдельный VLAN без доступа к корпоративным ресурсам.
- Блокировка на EDR запуска ELF-файлов и исполняемых файлов из временных каталогов.
- Мониторинг аномального исходящего сканирования с рабочих станций и серверов.
- Обновление прошивок сетевого оборудования и камер.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию (дампы памяти, журналы, сетевые сессии).
- Зафиксировать исходящие соединения и целевые адреса до отключения — они укажут на C2 и серверы раздачи.
- Найти и удалить сохранённые бинарники, проверить задачи планировщика, службы и autostart-ключи на закрепление.
- Проверить, не скачивалась ли дополнительная нагрузка (вторичные стилеры, майнеры, бэкдоры) — удаление одного загрузчика не закрывает инцидент.
- Просканировать сегмент на другие скомпрометированные хосты и устройства с брутфорс-попытками Telnet/SSH.
- Сменить учётные данные на сетевом оборудовании и устройствах, доступных с заражённого хоста.
- Переустанавливать систему только если целостность не может быть подтверждена; иначе — контролируемая очистка с проверкой автозапуска.
Ограничения текущего анализа
Текущие источники (MalwareBazaar, ThreatFox, Malpedia) подтверждают активность инфраструктуры и наличие Windows-исполняемых образцов с подписью Mirai, но не содержат детального статического или динамического разбора конкретных Windows-компонентов: точные техники закрепления, используемые API, схемы шифрования конфигурации и полный список C2-адресов не установлены. Поведенческие описания модулей опираются на общеизвестные характеристики семейства Mirai и его производных; для подтверждения деталей конкретных образцов необходим статический анализ и песочничный прогон. Соотношение наблюдаемых Windows-образцов с классическим Linux-ботнетом Mirai (прямая доставка ELF-нагрузки или самостоятельная роль загрузчика) требует дополнительной проверки.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 10.10.2026 — Опубликована первая версия материала.
