China-gebundenes JDY-Botnetz nutzt über 1.500 SOHO- und IoT-Geräte für schnelle Sicherheitslücken-Exploitation

Sicherheitslage und Risiko

Dies zeigt, dass das Botnetz Bedrohungsakteuren hilft, verwundbare Systeme zu finden, bevor Verteidiger Patches anwenden. Die primären Opfer des Botnetzes sind überwiegend in den USA ansässig, und das Scanning konzentriert sich auf Netzwerke, die mit US-Militäreinrichtungen verbunden sind.

Da infizierte Geräte gewöhnliche Heim- und Kleinunternehmer-Router sind, vermischen sich deren Datenströme mit dem normalen Internetverkehr, was die Erkennung durch herkömmliche Sicherheitstools erschwert. Das mit China verbundene JDY-Botnetz nutzt über 1.500 SOHO- und IoT-Geräte.

Das JDY-Botnetz funktioniert über ein eng organisiertes System, das die Betreiber verborgen hält, während die Bots aktiv bleiben. Infizierte Geräte erhalten Scan-Aufträge von einem Command-and-Control-Server, der über versteckte Tor-Knoten kommuniziert, was eine Rückverfolgung zu den Betreibern nahezu unmöglich macht.

Sicherheitslage und Risiko

Die Bots führen Multiprotocol-Scans über TCP-, UDP-, SSL- und ICMP-Kanäle durch und senden die komprimierten, verschlüsselten Ergebnisse an den zentralen Server zurück. Die Malware läuft auf Linux-basierten Systemen, die für MIPS- und MIPSEL-Prozessorarchitekturen ausgelegt sind – die in Heimroutern und Edge-Netzwerkgeräten am häufigsten vorkommen.

Ein leichtgewichtiges Bash-Dropper-Modul übernimmt die Infektion: Es erkennt die Prozessorart des Geräts, lädt das passende Payload herunter, führt es aus und löscht die Datei vom Datenträger.

Einige Geräte werden zudem über Platypus, ein Open-Source-Remote-Shell-Tool, verwaltet, wobei der Payload-Server unter 149.248.3[.]38 eine Platypus-Instanz auf Port 13339 hostet.

Technik und Auswirkungen

Durch die Verteilung der Scans auf Tausende von Geräten mit unterschiedlichen IP-Adressen umgeht die Botnet-Infrastruktur traditionelle Schutzmaßnahmen wie Blocklisten und Geofencing. Jedes Gerät übernimmt nur einen kleinen Teil der Scan-Last, sodass keine einzelne IP-Adresse genügend Alarme auslöst, um blockiert zu werden.

Die technische Analyse liefert weitere Details zur Funktionsweise der Malware. Im Code eingebaute AES-Dekryptierungsschlüssel ermöglichen es dem JDY, C2-Aufgabenbefehls-Antworten zu entschlüsseln. Die aktuelle Malware-Version 1.8.3.9 enthält eine fest codierte Versionszeichenfolge.

Der Dropper verwendet den variablen Prozessnamen „auditdy", um nach bestehenden Infektionen zu suchen. Das Payload wird in den Verzeichnissen /etc/ oder /tmp/ geschrieben und anschließend gelöscht. Die Ziel-Prozessorarchitekturen umfassen mips, mips64, mipsel und mipsel64.

Sicherheitslage und Risiko

Zur Kommunikation mit dem Command-and-Control-Server werden spezifische Endpunkte genutzt. Für die initiale Check-in-Beacon über HTTPS POST wird der Pfad /dispatch_service/v2/probe_status verwendet. Zur Übermittlung komprimierter Scan-Ergebnisse mit dem Dateinamen attr.json dient der Endpunkt /data/v2/pscan.

Beim UDP/ICMP-Scan für Port-80-Ziele wird der in den Code eingebaute ICMP-Paket-Identifikator 19037 verwendet. Im Hochgeschwindigkeits-SYN-Scan-Modus kommt ein fester Quellport von 19000 zum Einsatz. Die Netzwerkübersicht zeigt, wie JDY die Scans im Wohn- und kleinen Unternehmensbereich verteilt.

Diese Dezentralisierung macht es für Sicherheitsbehörden schwierig, die Aktivitäten des Botnetzes effektiv zu unterbinden, da die einzelnen Komponenten kaum auffallen.

Sicherheitslage und Risiko

SvyTech-Einordnung Das JDY-Botnetz repräsentiert eine evolutionäre Weiterentwicklung staatlich geförderter Cyber-Kapazitäten, bei der die direkte Angriffsinfrastruktur durch spezialisierte Aufklärungswerkzeuge ersetzt wurde.

Die Nutzung von Tor-Knoten und die Dezentralisierung über tausende kompromittierte SOHO-Geräte erhöhen die Resilienz der Bedrohung erheblich.

Die schnelle Reaktion auf neu geoffenbarte Schwachstellen wie CVE-2026-35616 verdeutlicht, dass die Betreiber über aktuelle Exploit-Informationen verfügen und diese operativ innerhalb von Stunden in die Scans integrieren.

Sicherheitslage und Risiko

Was Leser daraus mitnehmen Organisatorien sollten dringend prüfen, ob ihre SOHO-Router und IoT-Geräte gegen bekannte Schwachstellen gepatcht sind, da das JDY-Botnet diese aktiv nachnutzt.

Die Tatsache, dass Scans über tausende legitime IP-Adressen laufen, macht eine einfache Blockierung schwierig; daher ist die regelmäßige Überprüfung der Systemintegrität und die Aktivierung von Sicherheitsupdates entscheidend.

Zudem sollten Administratoren auf ungewöhnliche Netzwerkaktivitäten achten, insbesondere wenn Geräte plötzlich hohe Datenmengen an unbekannte Endpunkte senden oder sich in verdächtigen Verzeichnissen wie /tmp/ unbekannte Prozesse befinden.