LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer erneuten Ausbreitung des JDY-Botnetzes: Es nutzt inzwischen über 1.500 SOHO- und IoT-Geräte, um offen einsehbare Dienste automatisiert zu entdecken und systematisch zu fingerprinten. Der Ansatz liefert strukturierte Aufklärungsdaten als Vorstufe für spätere Zieldefinition und Ausnutzung. Besonders kritisch: Das Botnet passt seine Scan-Methodik an Privilegien und verfügbare Protokolle an und umgeht IP-basierte Schutzmechanismen. Damit zeigt sich, wie dauerhaft und anpassungsfähig solche Reconnaissance-Netze nach Störaktionen bleiben.
Das JDY-Botnet steht erneut im Fokus: Nach einer zwischenzeitlichen Eindämmung rund um das KV-botnet berichten Security-Analysten von einer „Resurgence und Expansion“ hin zu einem deutlich größeren, zentral gesteuerten Reconnaissance-Netz. Im Kern handelt es sich um eine verdeckte Infrastruktur, die kompromittierte SOHO- und IoT-Geräte als verteilte Beobachtungspunkte nutzt, um exponierte Services im Internet zu finden, zu fingerprinten und fortlaufend abzubilden. Diese Sichtbarkeit der Angriffsfläche entsteht nicht durch „breites Krawall-Scannen“, sondern durch eine orchestrierte, datenorientierte Auswertung, die anschließend in größere Ziel-Workflows eingespeist wird.
Technisch lässt sich JDY als mehrschichtige Architektur beschreiben. Die Operatoren sollen Tor-basierte Knoten verwenden, um sowohl Command-and-Control-(C2)- als auch Payload-Server über mehrstufige Pfade zu steuern. Von dort erhalten die kompromittierten Knoten Aufgaben, die auf gezielter Systemprofilierung und Service-Fingerprinting beruhen. Statt wahlloser Erkundung wird ein Set aus TCP-, TLS-SSL-, UDP- und ICMP-unterstützten Sondierungen eingesetzt, wobei die Antworten etwa durch TLS-Zertifikate und Metadaten angereichert werden. Ergebnisse fließen in zentrale Server zurück, die wiederum den Intelligence-Zweck verfolgen: Asset Discovery und Vulnerability-Targeting statt unmittelbarer Ausnutzung.
Bemerkenswert ist dabei, wie stark sich die Scan-Engine an die lokalen Bedingungen des Wirts anpasst. Wenn ein Prozess einen Raw-Socket öffnen kann, deutet dies auf erhöhte Privilegien hin; dann wird mit hochgeschwindigkeitsbasiertem SYN-Scanning über selbst konstruierte TCP-Pakete gearbeitet. Fehlen solche Möglichkeiten oder handelt es sich um einen Web-Scan, weicht die Malware auf „normale“ TCP/TLS-Verbindungen oder auf Protokolle wie UDP und ICMP aus. Für Unternehmen bedeutet das: Sicherheitskontrollen, die nur auf einem einzelnen Verkehrsprofil oder einem statischen Erkennungsmuster beruhen, werden zunehmend unscharf. JDY zeigt damit sehr praxisnah den Unterschied zwischen einem reaktiven Blocklistenansatz und einer lernfähigen, verhaltensbasierten Erkennung, die auch Protokoll- und Privilegvariation berücksichtigt.
Im Markt- und Bedrohungskontext fügt sich JDY in das Muster offensiv agierender Akteure ein, die Reconnaissance als „frühe“ Phase ihrer Angriffskette operationalisieren. Als Referenz wird in der Analyse der Kontext zu chinesisch vernetzten Gruppen genannt, darunter Volt Typhoon. Historisch begann JDY als Cluster innerhalb eines größeren KV-botnet, das Ende 2023 in den Fokus geriet und Anfang 2024 durch US-Aktionen gestört wurde. Der entscheidende Punkt ist: Nach dem takedown entstanden Verhaltensänderungen, und ein großer Teil des zweiten KV-Clusters ging offline. Gleichzeitig verlagerten die Operatoren ihre Fähigkeit offenbar in JDY weiter nach außen – ein Muster, das in der Branche als „Capability Persistence“ bezeichnet wird, also die Wiederherstellung der Funktion trotz der Zerschlagung einzelner Knoten.
Die aktuelle Beobachtung unterstreicht außerdem die Skalierung. Ausgehend von etwa 650 Bots zu Beginn des Januars 2024 soll das Netzwerk auf mehr als 1.500 kompromittierte Geräte angewachsen sein. Die meisten Knoten werden in den USA und in Brasilien lokalisiert, gefolgt von Europa und Asien. Auch die Gerätemischung ist breiter geworden: Während zuvor vor allem Cisco RV320- und RV325-Router dominiert haben sollen, finden sich nun heterogenere Systeme, darunter Hardware von Araknis, Mimosa Networks, Ubiquiti, Draytek, Hikvision und Linksys. Genau diese Diversität erschwert die Verteidigung, weil IP-basierte Geofencing-Regeln, IP-Reputation-Detektion und statische Blocklisten bei wechselnden Zieladressierungen und unterschiedlichen Geräteprofilen an Wirkung verlieren.
Für die Verteidigung ist zudem relevant, wie JDY neu veröffentlichte Schwachstellen in Edge-Geräten in eine „präparierte“ Lieferung überführt. Die Berichte nennen als Beispiel eine CVE-Referenz (CVE-2026-35616), bei der die Attack-Chain einen Shell-Script-Dropper einsetzt. Dieser prüft zunächst, ob die Malware bereits aktiv ist, und lädt anschließend den Hauptpayload abhängig von der erkannten Prozessorarchitektur (etwa mips, mips64, mipsel oder mipsel64). Nach dem Start wird der Code vom Datenträger entfernt. Das ist zwar keine neue Idee, aber die Kombination aus Architektur-abhängigen Varianten, zielgerichtetem Scanning und der Pipeline für strukturierte Reconnaissance-Daten zeigt, wie Industrialisierung im Reconnaissance-Bereich funktioniert.
Aus Compliance- und Datenschutzperspektive ist vor allem die Rolle kompromittierter Endgeräte heikel: SOHO- und IoT-Systeme sind häufig Teil privater wie auch betrieblicher Netzwerke und liefern oft Metadaten über TLS-Zertifikate, Systemdetails und Dienstkonfigurationen. Selbst wenn das Botnet primär Reconnaissance betreibt, entstehen dadurch potenziell personenbezogene oder zumindest organisatorisch sensitive Hinweise, die bei einer späteren Zielauswahl weiterverwendet werden können. Für Betreiber heißt das: Netzwerksegmente für IoT müssen konsequent getrennt werden, Remote-Management darf nicht „offen ins Internet“ laufen, und Logging sowie Incident-Response-Prozesse sollten auch Scanner-Verhalten berücksichtigen, nicht nur klassische Exploit-Spuren. In regulierten Branchen kommt dazu: Nachweisbarkeit von Abwehrmaßnahmen und Datenminimierung werden im Ernstfall genauso relevant wie technische Detektion.
Der Ausblick fällt klar aus: JDY wird nicht als isolierter Ausreißer verstanden, sondern als Teil eines breiteren adversarial ecosystem, das nach Störaktionen neu zusammengebaut wird. In Experteneinschätzungen wird betont, dass solche Reconnaissance-Netze ihre Fähigkeit zur Zielbereitstellung oft innerhalb von Stunden nach Schwachstellenveröffentlichungen wieder aufnehmen. Für Unternehmen bedeutet das eine Verschiebung der Prioritäten in Richtung schneller „Pre-Exploit“-Hygiene: Exposure-Mapping, Patch-Management mit engen Zeitfenstern, reduzierte Angriffsflächen durch Deaktivieren unnötiger Dienste und eine Überwachung, die Protokollmuster, Scan-Raten und Zielwechsel als zusammenhängendes Telemetrie-Signal behandelt. Wer das als MLOps-ähnliche Pipeline für Security versteht—inklusive Modellen für dynamische Muster statt nur statischer Regeln—reduziert das Risiko, dass Reconnaissance-Daten direkt in nachgelagerte Ausnutzung übersetzt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JDY-Botnet wächst auf über 1.500 IoT- und SOHO-Geräte für KI-ähnliche Zielaufklärung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JDY-Botnet wächst auf über 1.500 IoT- und SOHO-Geräte für KI-ähnliche Zielaufklärung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JDY-Botnet wächst auf über 1.500 IoT- und SOHO-Geräte für KI-ähnliche Zielaufklärung« bei Google Deutschland suchen, bei Bing oder Google News!