Mirai Botnet-spinoffs udløser en global bølge af DDoS-angreb

To Mirai botnet- spinoffs har lanceret aggressive DDoS-kampagner (distributed denial-of-service) på verdensplan, rettet mod sårbarheder i Internet of Things (IoT)-enheder og udnytter svage legitimationsoplysninger. Kampagnerne understreger den vedvarende trussel, som Mirai-baseret malware udgør, som stadig er et kraftfuldt cybervåben næsten et årti efter dets berygtede debut.

Mirai's Evolution: En vedvarende trussel mod IoT-sikkerhed

Mirai-botnettet har længe været et symbol på de sårbarheder, der ligger i IoT-enheder. Siden dens kildekode blev lækket i 2016, har Mirai inspireret utallige varianter, der hver bygger på den originale malwares ødelæggende egenskaber. To forskellige kampagner er dukket op for nylig, der udnytter Mirai-afledt malware til at kompromittere IoT-enheder og lancere globale DDoS-angreb.

Kampagne 1: Murdoc Botnet

En af de aktive kampagner, kaldet Murdoc Botnet, leverer Mirai malware til at udnytte specifikke sårbarheder i IoT-enheder såsom Avtech-kameraer og Huawei HG532-routere. Ifølge forskere ved Qualys bruger botnettet kendte udnyttelser, herunder:

• CVE-2024-7029 : En autentificeringsomgåelse af sårbarhed i Avtech-kameraer, der gør det muligt for angribere at injicere kommandoer eksternt.
• CVE-2017-17215 : En fejl ved fjernudførelse af kode (RCE) i Huawei-routere.

Murdoc-botnettet startede driften i juli 2024 og har siden kompromitteret over 1.300 IP'er, primært i Malaysia, Thailand, Mexico og Indonesien. Forskere afslørede over 100 forskellige serversæt knyttet til botnettet, som hver har til opgave at administrere inficerede enheder og koordinere yderligere angreb.

Malwaren infiltrerer enheder gennem ELF og shell script-filer, som derefter bruges til at installere Mirai malware-varianter. Disse inficerede enheder er bevæbnet til at deltage i ekspansive DDoS-angreb, hvilket skaber et formidabelt globalt botnet-netværk.

Kampagne 2: Hybrid malware målrettet mod globale organisationer

En anden kampagne, der udnytter malware afledt af både Mirai og Bashlite, har målrettet organisationer på tværs af Nordamerika, Europa og Asien. Trend Micro-forskere identificerede store DDoS-angreb, der oprindeligt påvirkede japanske virksomheder og banker, før de spredte sig globalt.

Angrebsvektorer og målrettede enheder

Angriberne fokuserede på at udnytte sikkerhedsfejl og svage legitimationsoplysninger i udbredte IoT-enheder, såsom:

• TP-Link routere
• Zyxel routere
• Hikvision IP-kameraer

Malwaren udnyttede sårbarheder ved fjernudførelse af kode og svage adgangskoder for at få adgang, og downloadede derefter scripts for at kompromittere enhederne. Denne globale operation har brugt to primære typer DDoS-angreb:

1. Netværksoverbelastningsangreb : Oversvømmer netværk med massive pakker af data for at overvælde båndbredden.
2. Ressourceudmattelsesangreb : Oprettelse af adskillige sessioner for at udtømme serverressourcer.

I nogle tilfælde kombinerede angribere begge metoder for at maksimere skaden, hvilket forårsagede betydelige forstyrrelser i de berørte områder.

Defensive foranstaltninger: Afhjælpning af virkningen af Mirai-botnet

Genopblomstringen af Mirai-baserede kampagner fremhæver behovet for organisationer for at styrke deres forsvar mod DDoS-angreb. Forskere hos Qualys og Trend Micro har givet kritiske anbefalinger til at bekæmpe disse trusler.

Generel bedste praksis

1. Overvåg for mistænkelig aktivitet : Spor regelmæssigt processer, begivenheder og netværkstrafik for tegn på kompromis.
2. Undgå upålidelige kilder : Afstå fra at udføre shell-scripts eller binære filer fra ukendt oprindelse.
3. Hærd IoT-enheder : Sørg for, at enheder er opdateret med den nyeste firmware og har stærke, unikke adgangskoder.

Afhjælpning af netværksoverbelastningsangreb

• Brug firewalls eller routere til at blokere ondsindede IP-adresser og begrænse uønsket trafik.
• Samarbejd med internetudbydere for at filtrere DDoS-trafik ved netværkskanten.
• Opgrader routerhardware til at håndtere større pakkevolumener.

Afbødende angreb på ressourceudmattelse

• Implementer hastighedsbegrænsning for at begrænse antallet af anmodninger fra specifikke IP-adresser.
• Brug tredjeparts DDoS-beskyttelsestjenester til at filtrere ondsindet trafik.
• Overvåg kontinuerligt forbindelser i realtid og bloker IP'er med overdreven aktivitet.

Mirai's vedvarende arv

Disse seneste Mirai botnet-kampagner tjener som en skarp påmindelse om de risici, som ubeskyttede IoT-enheder udgør. Mens angribere fortsætter med at forfine deres taktik og udnytte IoT-sårbarheder, skal organisationer forblive årvågne, proaktive og parate til at mindske risikoen for DDoS-angreb. Ved at vedtage robuste sikkerhedsforanstaltninger og fremme samarbejdet mellem cybersikkerhedsinteressenter kan vi reducere virkningen af disse vedvarende trusler.