A Mirai Botnet spinoffjai felszabadítják a DDoS támadások globális hullámát

Két Mirai botnet spinoff agresszív elosztott szolgáltatásmegtagadási (DDoS) kampányt indított világszerte, a tárgyak internete (IoT) eszközeinek sebezhetőségeit célozva és a gyenge hitelesítő adatokat kihasználva. A kampányok aláhúzzák a Mirai-alapú rosszindulatú programok által jelentett tartós fenyegetést, amely továbbra is erős kiberfegyver csaknem egy évtizeddel hírhedt debütálása után.

A Mirai's Evolution: Állandó fenyegetés az IoT biztonságára

A Mirai botnet régóta az IoT-eszközökben rejlő sebezhetőségek szimbóluma. Mióta forráskódja 2016-ban kiszivárgott, a Mirai számtalan változatot inspirált, amelyek mindegyike az eredeti rosszindulatú program pusztító képességeire épít. A közelmúltban két különböző kampány jelent meg, amelyek Mirai-eredetű rosszindulatú programokat használnak fel az IoT-eszközök kompromittálására és globális DDoS-támadások indítására.

1. kampány: A Murdoc botnet

Az egyik aktív kampány, a Murdoc Botnet névre keresztelt, Mirai malware-t szállít az IoT-eszközök, például az Avtech kamerák és a Huawei HG532 routerek bizonyos sebezhetőségeinek kihasználására. A Qualys kutatói szerint a botnet ismert kizsákmányolásokat használ, többek között:

• CVE-2024-7029 : Az Avtech kamerák hitelesítési megkerülő biztonsági rése, amely lehetővé teszi a támadók számára, hogy távolról parancsokat adjanak be.
• CVE-2017-17215 : Távoli kódvégrehajtási (RCE) hiba a Huawei útválasztókban.

A Murdoc botnet 2024 júliusában kezdte meg működését, és azóta több mint 1300 IP-t veszélyeztetett, elsősorban Malajziában, Thaiföldön, Mexikóban és Indonéziában. A kutatók több mint 100 különálló, a botnethez kapcsolódó szerverkészletet fedeztek fel, amelyek mindegyike a fertőzött eszközök kezelése és a további támadások koordinálása volt.

A rosszindulatú program ELF- és shell script-fájlokon keresztül hatol be az eszközökbe, amelyeket aztán a Mirai malware-változatok telepítésére használnak. Ezeket a fertőzött eszközöket felfegyverezték, hogy részt vegyenek a kiterjedt DDoS támadásokban, ami egy félelmetes globális botnet hálózatot hoz létre.

2. kampány: Globális szervezeteket célzó hibrid malware

A második kampány, amely a Mirai-tól és a Bashlite-től származó rosszindulatú programokat is felhasználja, Észak-Amerika, Európa és Ázsia szervezeteit célozta meg. A Trend Micro kutatói nagyszabású DDoS-támadásokat azonosítottak, amelyek kezdetben a japán vállalatokat és bankokat érintették, mielőtt globálisan elterjedtek.

Támadásvektorok és célzott eszközök

A támadók a biztonsági hibák és a gyenge hitelesítő adatok kihasználására összpontosítottak széles körben használt IoT-eszközökben, mint például:

• TP-Link routerek
• Zyxel routerek
• Hikvision IP kamerák

A rosszindulatú program távoli kódfuttatási sebezhetőségeket és gyenge jelszavakat használt ki a hozzáféréshez, majd szkripteket töltött le, hogy kompromittálja az eszközöket. Ez a globális művelet a DDoS támadások két fő típusát alkalmazta:

1. Hálózati túlterhelési támadások : A hálózatok elárasztása hatalmas adatcsomagokkal, hogy túlterhelje a sávszélességet.
2. Erőforrás-kimerülési támadások : Számos munkamenet létrehozása a kiszolgáló erőforrásainak kimerítésére.

Egyes esetekben a támadók mindkét módszert kombinálták a kár maximalizálása érdekében, jelentős fennakadásokat okozva az érintett régiókban.

Védelmi intézkedések: a Mirai botnetek hatásának mérséklése

A Mirai-alapú kampányok újjáéledése rávilágít arra, hogy a szervezeteknek meg kell erősíteniük védekezésüket a DDoS-támadásokkal szemben. A Qualys és a Trend Micro kutatói kritikus ajánlásokat fogalmaztak meg e fenyegetések leküzdésére.

Általános bevált gyakorlatok

1. Gyanús tevékenységek figyelése : Rendszeresen kövesse nyomon a folyamatokat, eseményeket és a hálózati forgalmat a kompromittálódás jelei miatt.
2. Kerülje a nem megbízható forrásokat : Kerülje az ismeretlen eredetű shell szkriptek vagy binárisok végrehajtását.
3. Harden IoT Devices : Győződjön meg arról, hogy az eszközök a legújabb firmware-rel frissülnek, és erős, egyedi jelszavakkal rendelkeznek.

A hálózat túlterhelési támadásainak enyhítése

• Használjon tűzfalakat vagy útválasztókat a rosszindulatú IP-címek blokkolására és a nem kívánt forgalom korlátozására.
• Együttműködjön az internetszolgáltatókkal a DDoS-forgalom szűrése érdekében a hálózat szélén.
• Frissítse az útválasztó hardverét a nagyobb csomagmennyiség kezelésére.

Erőforrás-kimerülési támadások enyhítése

• Hajtsa végre a sebességkorlátozást, hogy korlátozza az adott IP-címekről érkező kérések számát.
• Használjon harmadik féltől származó DDoS-védelmi szolgáltatásokat a rosszindulatú forgalom kiszűrésére.
• Folyamatosan figyelje a kapcsolatokat valós időben, és blokkolja az IP-címeket a túlzott aktivitással.

Mirai kitartó öröksége

Ezek a legújabb Mirai botnet kampányok határozottan emlékeztetnek a védtelen IoT-eszközök által jelentett kockázatokra. Ahogy a támadók folyamatosan finomítják taktikájukat és kihasználják az IoT sebezhetőségeit, a szervezeteknek ébernek, proaktívnak és felkészültnek kell maradniuk a DDoS-támadások kockázatainak mérséklésére. Hatékony biztonsági intézkedések elfogadásával és a kiberbiztonsági érdekelt felek közötti együttműködés elősegítésével csökkenthetjük ezeknek a tartós fenyegetéseknek a hatását.