LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer deutlichen Ausweitung des JDY-Botnets auf über 1.500 SOHO- und IoT-Geräte. Das Netzwerk fungiert als zentral gesteuerter Scanner, der Dienste identifiziert, systematisch profiliert und verwertbare Reconnaissance-Daten liefert. Besonders relevant ist die Umgehung klassischer IP-basierter Schutzmechanismen, da die Erkennung über viele Adressen und Standorte verteilt wird. Damit wird JDY nach dem Rückbau des KV-Clusters zu einer eigenständigen, langlebigen Fähigkeit für nachgelagerte Angriffe.
Das JDY-Botnet zeigt, wie robust sich moderne Angriffs-Infrastrukturen gegen Takedowns entwickeln. Laut Erkenntnissen von Lumen Black Lotus Labs hat sich die verdeckte Kampagne inzwischen auf mehr als 1.500 kompromittierte SOHO- und IoT-Geräte ausgeweitet. Die Forscher sprechen dabei von einer „resurgence and expansion“ und ordnen JDY als zentral gesteuertes, hochperformantes Scanning-Werkzeug ein, das öffentlich erreichbare Dienste entdeckt, fingerprintet und fortlaufend abbildet. Besonders kritisch: JDY wirkt nicht primär als Exploit-Kette, sondern als industrielle Reconnaissance-Schicht, deren Ergebnisse in ein größeres Zielsystem eingespeist werden.
Technisch betrachtet bündelt das Botnet Aufklärung statt unmittelbarer Ausnutzung. Die JDY-Instanz wird als ein „layered architecture“-Ansatz beschrieben: Angreifer nutzen dabei Tor-Knoten zur Verwaltung kompromittierter Infrastruktur, einschließlich Command-and-Control- und Payload-Servern. Von den C2-Servern erhalten die Bots vor allem gezielte Reconnaissance-Aufgaben und führen dann Hochvolumen-Checks durch, die TCP-, TLS-, UDP- und ICMP-Komponenten einschließen. Wichtig ist die Ergebnisform: Anstatt beliebige Payload auszurollen, sammeln die Systeme strukturierte Daten wie TLS-Zertifikate und Metadaten, die anschließend an zentrale Server zurückgemeldet werden, um weitere Schritte der Angriffsplanung zu unterstützen.
Der zeitliche Kontext unterstreicht die Anpassungsfähigkeit. JDY war zunächst als Cluster innerhalb eines größeren Botnetzes, dem KV-botnet, im Dezember 2023 aufgefallen. Nachdem das US-amerikanische Vorgehen gegen KV Anfang 2024 Teile der Infrastruktur aus dem Verkehr gezogen hatte, wechselten die Betreiber offenbar ihre Betriebsweise: Das zweite KV-Cluster ging überwiegend offline, während JDY als eigenständige Reconnaissance-Kapazität weiterlief und an Umfang gewann. So stieg die Zahl der Bots vom Jahresbeginn 2024 (rund 650) auf über 1.500. Diese Verlagerung weg von einer „unterstützenden Komponente“ hin zu einer eigenständigen Fähigkeit ist ein Muster, das viele Incident-Response-Teams aus früheren Botnet-Generationen kennen – nur mit schnellerem Iterationszyklus und höherer Automatisierung.
Markt- und Bedrohungslage werden dadurch konkreter greifbar. Lumen ordnet JDY in eine Umgebung ein, die mit China-nexus staatlich verknüpften Akteuren und Angreifergruppen in Verbindung steht; als Beispiel wird unter anderem Volt Typhoon genannt. In der Praxis konkurrieren nicht nur „Tools“, sondern auch Vorgehensmodelle: Während manche Gruppen breit streuen, zielt JDY auf das systematische Erkennen anfälliger Infrastruktur nach öffentlichen Schwachstellenveröffentlichungen. Black Lotus Labs beschreibt außerdem eine zweite, häufig unterschätzte Komponente: die Auswahl der kompromittierten Zielgeräte. JDY nutzt viele US-basierte SOHO- und IoT-Geräte, wodurch Schutzmaßnahmen auf Basis von Geofencing, IP-Reputation oder statischen Blocklists leichter umgangen werden, weil Scans über viele IP-Adressen verteilt sind und dadurch weniger wahrscheinlich als „Scanner“ markiert werden.
Für Unternehmen ist das vor allem deshalb relevant, weil die Verteidigung oft noch zu sehr auf „Single-IP-Block“ oder statische Signaturen setzt. Wenn ein Botnet wie JDY breit über Adressräume und Standorte arbeitet, sinkt der Signalwert eines einzelnen Artefakts. Gleichzeitig wird das Vorgehen durch eine diversifizierte Gerätebasis verstärkt: Neben früher stärker auffälligen Cisco-Routern finden sich heute auch Modelle von Araknis, Mimosa Networks, Ubiquiti, Draytek, Hikvision und Linksys. Aus Enterprise-Sicht entsteht damit ein klassischer Spannungsbogen zwischen Netzwerksegmentierung und Observability: Selbst wenn Firewalls Traffic stoppen, kann die Phase davor (Dienst-Erkennung und Profiling) bereits wertvolle Daten liefern, die später in zielgerichtete Angriffe münden.
Auf der Ebene der Exploit-Chain wird JDY als „Conduit“ für nachgelagerte Systeme eingeordnet. Attack Chains würden demnach neu veröffentlichte Edge-Schwachstellen weaponizen, wobei im Bericht ein Beispiel wie CVE-2026-35616 genannt wird. Danach wird ein Shell-Script-Dropper eingesetzt, der zunächst prüft, ob die Malware bereits aktiv ist; erst wenn nicht, lädt er das Hauptpayload herunter – abhängig von der erkannten Prozessorarchitektur etwa mips, mipsel oder deren 64-Bit-Varianten. Danach löscht sich der Code vom Datenträger. Diese kurzen Lebenszyklen und architekturspezifischen Pfade erhöhen die Wahrscheinlichkeit, dass einzelne Geräte nicht ausreichend lange sichtbar bleiben, um sie mit generischen Forensik-Routinen zuverlässig zu identifizieren.
Besonders technisch anspruchsvoll ist die adaptive Scanning-Logik. Das Malware-Modul kann offenbar seine Methoden anhand der lokalen Berechtigungen variieren: Gelingt das Öffnen eines Raw Sockets (ein Indikator für Root-Rechte), startet es Hochgeschwindigkeits-SYN-Scans mit speziell konstruierten TCP-Paketen. Wenn Raw Sockets nicht verfügbar sind oder die Aufgabe als Web-Scan läuft, nutzt es Standard-TCP/TLS-Connections oder greift auf UDP- und ICMP-Prüfungen zurück. Genau diese Anpassung macht den Unterschied zwischen „lautem“ und „unauffälligem“ Reconnaissance-Verhalten. In der Folge kann JDY Asset Discovery, Vulnerability-Targeting-Pipelines und sogar nachgelagerte Exploit-Orchestrierung informativ vorbereiten – eine Entwicklung, die Lumen als Hinweis auf industrialisierte Reconnaissance durch kompromittierte IoT/SOHO-Infrastrukturen bewertet.
Der wirtschaftliche und regulatorische Impact ist damit zugleich technisch und organisatorisch. Zum einen zwingt das Muster Unternehmen zu einer „Reconnaissance-aware“ Sicherheitsarchitektur: Logs reichen allein nicht, wenn Scans sich über viele IPs verbergen und Geräteklassen stark variieren. Zum anderen rücken Datenschutzfragen in den Fokus, weil Reconnaissance typischerweise Metadaten einsammelt und bei bestimmten Zielstellungen auch personenbezogene Indikatoren indirekt berührt werden können, etwa über Server- oder Zertifikatsfelder. Selbst wenn nicht „explizit“ Daten exfiltriert werden, steigt die Bedeutung von Datenschutzfolgenabschätzungen, Retention-Policies und Zugriffskontrollen in Security-Operations. Das gilt besonders für Umgebungen mit verwalteten IoT-Flotten und extern exponierten Edge-Gateways.
In die Zukunft gelesen deutet JDY auf einen Trend hin, der über einzelne Cluster hinausgeht: Disruption zerstört nicht zwingend die Fähigkeit, sondern verschiebt sie. Lumen argumentiert, dass die Reconnaissance-Kapazität trotz Takedowns persistiert, sich anpasst und häufig bereits innerhalb von Stunden nach Veröffentlichung neuer Schwachstellen verwertbare Zielinformationen liefert. Für Verteidiger bedeutet das: Patch- und Hardening-Zyklen müssen schneller als die Angriffsfenster sein, und Erkennung darf nicht nur auf IP-Sperrlisten basieren, sondern muss auf Verhaltensmustern, Dienst-Fingerprints und Datenfluss-Anomalien aufsetzen. Für Entwickler und Betreiber von Edge-Software heißt die implizite Lehre, dass robuste Secure-Defaults, kurze Updatezyklen und reduzierte Angriffsflächen an der Peripherie entscheidend sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JDY-Botnet wächst auf 1.500+ Geräte: Zentrale KI-gestützte Reconnaissance für Edge-Schwachstellen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JDY-Botnet wächst auf 1.500+ Geräte: Zentrale KI-gestützte Reconnaissance für Edge-Schwachstellen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JDY-Botnet wächst auf 1.500+ Geräte: Zentrale KI-gestützte Reconnaissance für Edge-Schwachstellen« bei Google Deutschland suchen, bei Bing oder Google News!