LunoBotnet (или просто Luno) — разновидность ботнета, нацеленная на устройства под управлением Linux. По информации, доступной на 2025 год, он сочетает модульную архитектуру, способности к самовосстановлению и разнообразные вредоносные функции, такие как криптомайнинг, DDoS-атаки и удалённое выполнение команд.^[1]

Первое публичное упоминание о Luno было сделано исследователями из Cyble Research and Intelligence Labs (CRIL) в отчёте, опубликованном в 2025 году.^[1] По состоянию на осень 2025 года данные об Luno остаются ограниченными; независимые подтверждения и исследования пока редки.

Luno реализован как фреймворк с набором независимых модулей. Основные модули включают:

• криптомайнинг;
• DDoS (различные виды атак: TCP, UDP, HTTP и др.);
• удалённое выполнение команд (RCE).

Такой подход позволяет операторам гибко конфигурировать функциональность ботнета под разные задачи.

Luno обладает механизмами, направленными на восстановление работоспособности после обнаружения или удаления. В частности:

• автоматическое перезапускание компонентов;
• скрытые загрузчики и «стратегии спасения»;
• использование полиморфизма и обфускации для изменения кода, чтобы затруднить детектирование.

Для усложнения анализа и обнаружения вредоносных компонентов Luno применяет:

• переименование процессов и файлов, маскировку под системные службы;
• динамическое изменение исполняемого кода;
• антианализные техники (например, проверка окружения, запуск только в «подходящих» условиях).

Luno использует централизованный канал команд и контроля (C2) для:

• передачи команд;
• получения обновлений;
• распределения новых конфигураций и модулей.

Обновления могут быть полиморфными, то есть изменять форму кода без изменения функциональности, что препятствует обнаружению по сигнатурам.

Заражённые хосты могут использоваться для майнинга криптовалют (например, через XMRig или аналогичные инструменты). Это обеспечивает постоянный доход операторам ботнета за счёт ресурсов жертв.

Luno способен задействовать заражённые машины для распределённых атак отказа в обслуживании, поддерживая разные типы трафика (TCP, UDP, HTTP).

Через канал C2 ботнет может принимать и исполнять произвольные команды, расширяя свои возможности: загрузка и запуск дополнительных вредоносных модулей, передача данных, маршрутизация трафика и др.

Согласно доступным данным, операторы Luno могут предлагать услуги DDoS через Telegram-каналы или другие площадки, что свидетельствует о коммерческом характере эксплуатации инфраструктуры.

Основное внимание Luno направлено на устройства под управлением Linux — особенно серверы, облачные хостинги, игровые и веб-серверы, сетевые узлы.

Чаще всего жертвами становятся системы:

• со слабыми или не обновлёнными компонентами;
• без должного контроля безопасности;
• с лишними правами у процессов.

На данный момент точные векторы инфицирования (эксплойты, фишинг, уязвимости популярных сервисов) описаны не детально в публичных источниках. Вероятно, Luno использует стандартные методы эксплуатации уязвимостей и брутфорс в сетевых службах.

• Нагрузка и деградация производительности — из-за майнинга и участия в DDoS хосты могут работать медленнее или нестабильно.
• Потеря контроля над системой — операторы получают возможность удалённого выполнения команд, доступа к данным, установки других вредоносных модулей.
• Риск для инфраструктуры — провайдеры, хостинги и игровые платформы могут понести убытки от отказов или атак.
• Сложность реагирования — благодаря самовосстановлению, полиморфным обновлениям и обфускации Luno представляет собой трудную угрозу для системы безопасности.

• Поведенческий мониторинг — отслеживание процессов с аномальным использованием CPU, диска, сети.
• Проверка целостности — контроль изменений в системных файлах.
• Логирование и анализ трафика — мониторинг исходящих соединений, подозрительных адресов.
• IDS/IPS и фильтрация — блокировка подозрительных соединений.
• Обновления и патчи — устранение уязвимостей в ОС и приложениях.
• Минимизация прав — запуск сервисов с минимально необходимыми привилегиями.
• Сегментация сети — изоляция критичных узлов.

В отличие от чисто DDoS-ориентированных ботнетов (например, Mirai), Luno сочетает в себе функции криптомайнинга и DDoS. Механизмы самовосстановления, полиморфизма и обфускации приближают Luno к более продвинутым угрозам, чем простые ботнеты, основанные на статических бинарниках.

• Cyble Research and Intelligence Labs (CRIL). LunoBotnet, a Self-Healing Linux Botnet. 2025.