Τα Spinoffs του Mirai Botnet εξαπολύουν παγκόσμιο κύμα επιθέσεων DDoS

Δύο spinoff botnet της Mirai έχουν ξεκινήσει επιθετικές κατανεμημένες εκστρατείες άρνησης υπηρεσίας (DDoS) παγκοσμίως, στοχεύοντας τρωτά σημεία σε συσκευές Internet of Things (IoT) και εκμεταλλευόμενοι αδύναμα διαπιστευτήρια. Οι καμπάνιες υπογραμμίζουν τη διαρκή απειλή που θέτει το κακόβουλο λογισμικό που βασίζεται στο Mirai, το οποίο παραμένει ένα ισχυρό όπλο στον κυβερνοχώρο σχεδόν μια δεκαετία μετά το περιβόητο ντεμπούτο του.

Mirai's Evolution: Μια επίμονη απειλή για την ασφάλεια του IoT

Το botnet Mirai είναι εδώ και καιρό σύμβολο των τρωτών σημείων που ενυπάρχουν στις συσκευές IoT. Από τότε που ο πηγαίος του κώδικας διέρρευσε το 2016, το Mirai έχει εμπνεύσει αμέτρητες παραλλαγές, καθεμία από τις οποίες βασίζεται στις καταστροφικές δυνατότητες του αρχικού κακόβουλου λογισμικού. Δύο ξεχωριστές καμπάνιες εμφανίστηκαν πρόσφατα, αξιοποιώντας κακόβουλο λογισμικό που προέρχεται από το Mirai για να υπονομεύσει τις συσκευές IoT και να ξεκινήσει παγκόσμιες επιθέσεις DDoS.

Καμπάνια 1: The Murdoc Botnet

Μία από τις ενεργές καμπάνιες, που ονομάζεται Murdoc Botnet, παρέχει κακόβουλο λογισμικό Mirai για την εκμετάλλευση συγκεκριμένων ευπαθειών σε συσκευές IoT όπως οι κάμερες Avtech και οι δρομολογητές Huawei HG532. Σύμφωνα με ερευνητές της Qualys, το botnet χρησιμοποιεί γνωστά exploit, όπως:

• CVE-2024-7029 : Μια ευπάθεια παράκαμψης ελέγχου ταυτότητας στις κάμερες Avtech, που επιτρέπει στους εισβολείς να εισάγουν εντολές από απόσταση.
• CVE-2017-17215 : Ένα ελάττωμα απομακρυσμένης εκτέλεσης κώδικα (RCE) σε δρομολογητές Huawei.

Το botnet Murdoc ξεκίνησε τη λειτουργία του τον Ιούλιο του 2024 και έκτοτε έχει θέσει σε κίνδυνο πάνω από 1.300 IP, κυρίως στη Μαλαισία, την Ταϊλάνδη, το Μεξικό και την Ινδονησία. Οι ερευνητές ανακάλυψαν πάνω από 100 διαφορετικά σύνολα διακομιστών που συνδέονται με το botnet, το καθένα επιφορτισμένο με τη διαχείριση μολυσμένων συσκευών και τον συντονισμό περαιτέρω επιθέσεων.

Το κακόβουλο λογισμικό διεισδύει σε συσκευές μέσω αρχείων ELF και script shell, τα οποία στη συνέχεια χρησιμοποιούνται για την εγκατάσταση παραλλαγών κακόβουλου λογισμικού Mirai. Αυτές οι μολυσμένες συσκευές είναι εξοπλισμένες για να συμμετέχουν σε εκτεταμένες επιθέσεις DDoS, δημιουργώντας ένα τρομερό παγκόσμιο δίκτυο botnet.

Καμπάνια 2: Υβριδικό κακόβουλο λογισμικό που στοχεύει σε παγκόσμιους οργανισμούς

Μια δεύτερη καμπάνια, αξιοποιώντας κακόβουλο λογισμικό που προέρχεται τόσο από το Mirai όσο και από το Bashlite, έχει στοχεύσει οργανισμούς σε όλη τη Βόρεια Αμερική, την Ευρώπη και την Ασία. Οι ερευνητές της Trend Micro εντόπισαν επιθέσεις DDoS μεγάλης κλίμακας που αρχικά επηρέασαν τις ιαπωνικές εταιρείες και τράπεζες πριν εξαπλωθούν παγκοσμίως.

Επίθεση σε διανύσματα και στοχευμένες συσκευές

Οι εισβολείς επικεντρώθηκαν στην εκμετάλλευση ελαττωμάτων ασφαλείας και αδύναμων διαπιστευτηρίων σε ευρέως χρησιμοποιούμενες συσκευές IoT, όπως:

• Δρομολογητές TP-Link
• Δρομολογητές Zyxel
• Κάμερες IP της Hikvision

Το κακόβουλο λογισμικό εκμεταλλεύτηκε ευπάθειες απομακρυσμένης εκτέλεσης κώδικα και αδύναμους κωδικούς πρόσβασης για να αποκτήσει πρόσβαση και στη συνέχεια κατέβασε σενάρια για να παραβιάσει τις συσκευές. Αυτή η παγκόσμια λειτουργία έχει χρησιμοποιήσει δύο κύριους τύπους επιθέσεων DDoS:

1. Επιθέσεις υπερφόρτωσης δικτύου : Κατακλύζουν δίκτυα με τεράστια πακέτα δεδομένων για να υπερκαλύψουν το εύρος ζώνης.
2. Επιθέσεις εξάντλησης πόρων : Δημιουργία πολλών περιόδων σύνδεσης για την εξάντληση των πόρων διακομιστή.

Σε ορισμένες περιπτώσεις, οι επιτιθέμενοι συνδύασαν και τις δύο μεθόδους για να μεγιστοποιήσουν τη ζημιά, προκαλώντας σημαντικές διακοπές στις πληγείσες περιοχές.

Αμυντικά μέτρα: Μετριασμός των επιπτώσεων των Mirai Botnets

Η αναζωπύρωση των εκστρατειών που βασίζονται στο Mirai υπογραμμίζει την ανάγκη για τους οργανισμούς να ενισχύσουν την άμυνά τους έναντι των επιθέσεων DDoS. Ερευνητές της Qualys και της Trend Micro έχουν παράσχει κρίσιμες συστάσεις για την καταπολέμηση αυτών των απειλών.

Γενικές Βέλτιστες Πρακτικές

1. Παρακολούθηση για ύποπτη δραστηριότητα : Παρακολουθείτε τακτικά τις διαδικασίες, τα συμβάντα και την κυκλοφορία δικτύου για ενδείξεις συμβιβασμού.
2. Αποφύγετε αναξιόπιστες πηγές : Αποφύγετε την εκτέλεση σεναρίων φλοιού ή δυαδικών αρχείων από άγνωστη προέλευση.
3. Harden IoT Devices : Βεβαιωθείτε ότι οι συσκευές είναι ενημερωμένες με το πιο πρόσφατο υλικολογισμικό και διαθέτουν ισχυρούς, μοναδικούς κωδικούς πρόσβασης.

Μετριασμός επιθέσεων υπερφόρτωσης δικτύου

• Χρησιμοποιήστε τείχη προστασίας ή δρομολογητές για να αποκλείσετε κακόβουλες διευθύνσεις IP και να περιορίσετε την ανεπιθύμητη κυκλοφορία.
• Συνεργαστείτε με παρόχους υπηρεσιών Διαδικτύου για να φιλτράρετε την κίνηση DDoS στην άκρη του δικτύου.
• Αναβαθμίστε το υλικό του δρομολογητή για να χειριστείτε μεγαλύτερους όγκους πακέτων.

Μετριασμός των επιθέσεων εξάντλησης πόρων

• Εφαρμογή περιορισμού ρυθμού για περιορισμό του αριθμού αιτημάτων από συγκεκριμένες διευθύνσεις IP.
• Χρησιμοποιήστε υπηρεσίες προστασίας DDoS τρίτων για να φιλτράρετε την κακόβουλη κυκλοφορία.
• Παρακολουθήστε συνεχώς τις συνδέσεις σε πραγματικό χρόνο και αποκλείστε IP με υπερβολική δραστηριότητα.

The Persistent Legacy of Mirai

Αυτές οι τελευταίες καμπάνιες botnet Mirai χρησιμεύουν ως μια έντονη υπενθύμιση των κινδύνων που ενέχουν οι μη προστατευμένες συσκευές IoT. Καθώς οι επιτιθέμενοι συνεχίζουν να βελτιώνουν τις τακτικές τους και να αξιοποιούν τα τρωτά σημεία του IoT, οι οργανισμοί πρέπει να παραμείνουν σε επαγρύπνηση, προνοητικοί και έτοιμοι να μετριάσουν τους κινδύνους επιθέσεων DDoS. Με την υιοθέτηση ισχυρών μέτρων ασφαλείας και την προώθηση της συνεργασίας μεταξύ των ενδιαφερομένων στον κυβερνοχώρο, μπορούμε να μειώσουμε τον αντίκτυπο αυτών των επίμονων απειλών.