Kinryū Labs

• ۳ مرداد ۱۴۰۵ / Threat teardown

  godhive: A Novel Rust Crypto-Stealer and Miner Framework

  Kinryū Labs analysed godhive, a novel and undocumented Rust offensive framework caught abusing an exposed Docker API on our honeypot network. It mines Monero, drains cryptocurrency wallets across major exchanges and more than eight blockchains, spreads as a worm, and hides behind a command channel built to survive takedown. We assess with high confidence that it is purpose-built crimeware, and that it was deployed by a single developer field-testing their own tool from a consumer mobile connection.

  malware · cryptojacking · crypto-stealer · rust · docker · worm

• ۱۶ تیر ۱۴۰۵ / Threat teardown

  Inside a Gaming DDoS-for-Hire Operation

  Kinryū Labs assesses with high confidence that this is a commercial gaming DDoS-for-hire operation running on a shared botnet builder kit. The same Go codebase is compiled by different operators with their own C2 servers and attack loadouts; the fleet analysed here fronts a self-serve, account-gated for-hire API and a live bot inventory of roughly 28 to 32 devices, dispatching customer attack orders against gaming and voice infrastructure. Its raw-TCP command channel is unauthenticated while bot registration is gated behind a password-authenticated SSH channel.

  malware · botnet · ddos · golang · iot · honeypot

• ۱۱ تیر ۱۴۰۵ / Threat teardown

  یک بات‌نت DDoS اجاره‌ای چندسکویی بر پایهٔ Go

  ‏Kinryū Labs فایل bot.exe، ساخت ویندوزیِ یک بات‌نت DDoS کامپایل‌شده با Go را تحلیل کرد که به‌صورت یک مجموعه‌دراپرِ ۱۱ باینری و ۱۳ معماری توزیع می‌شود و از طریق یک کارزار چندروزهٔ بهره‌کشی از Jenkins Script Console تحویل داده می‌شود. شناسایی میزبان استقرار یک API زندهٔ احرازهویت‌شدهٔ DDoS اجاره‌ای، یک کانال فرمان SSH بر پایهٔ Go، و یک خانوادهٔ هم‌میزبان از تبار Mirai را آشکار کرد. با اطمینان بالا ارزیابی می‌کنیم که این یک عملیات تجاری DDoS اجاره‌ای است.

  malware · botnet · ddos · golang · iot · jenkins

kinryu@lab