Mirai Botnet-spinoffs slipper løs global bølge av DDoS-angrep

To Mirai botnett- spinoffs har lansert aggressive DDoS-kampanjer (distribuert denial-of-service) over hele verden, rettet mot sårbarheter i Internet of Things (IoT)-enheter og utnytter svak legitimasjon. Kampanjene understreker den varige trusselen som Mirai-basert skadevare utgjør, som fortsatt er et kraftig nettvåpen nesten et tiår etter den beryktede debuten.

Mirai's Evolution: A Persistent Threat to IoT Security

Mirai-botnettet har lenge vært et symbol på sårbarhetene som ligger i IoT-enheter. Siden kildekoden ble lekket i 2016, har Mirai inspirert utallige varianter, som hver bygger på den originale skadevareens ødeleggende evner. To distinkte kampanjer har nylig dukket opp, som utnytter Mirai-avledet skadelig programvare for å kompromittere IoT-enheter og lansere globale DDoS-angrep.

Kampanje 1: Murdoc Botnet

En av de aktive kampanjene, kalt Murdoc Botnet, leverer Mirai malware for å utnytte spesifikke sårbarheter i IoT-enheter som Avtech-kameraer og Huawei HG532-rutere. I følge forskere ved Qualys bruker botnettet kjente utnyttelser, inkludert:

• CVE-2024-7029 : En autentiseringsomgår sårbarhet i Avtech-kameraer, slik at angripere kan injisere kommandoer eksternt.
• CVE-2017-17215 : En RCE-feil (Remote Code execution) i Huawei-rutere.

Murdoc-botnettet startet sin virksomhet i juli 2024 og har siden kompromittert over 1300 IP-er, først og fremst i Malaysia, Thailand, Mexico og Indonesia. Forskere avdekket over 100 forskjellige serversett koblet til botnettet, som hver har i oppgave å administrere infiserte enheter og koordinere ytterligere angrep.

Skadevaren infiltrerer enheter gjennom ELF- og shell-skriptfiler, som deretter brukes til å installere Mirai malware-varianter. Disse infiserte enhetene er bevæpnet til å delta i ekspansive DDoS-angrep, og skaper et formidabelt globalt botnett-nettverk.

Kampanje 2: Hybrid skadelig programvare rettet mot globale organisasjoner

En andre kampanje, som utnytter skadelig programvare fra både Mirai og Bashlite, har målrettet organisasjoner over hele Nord-Amerika, Europa og Asia. Trend Micro-forskere identifiserte store DDoS-angrep som i utgangspunktet påvirket japanske selskaper og banker før de spredte seg globalt.

Angripsvektorer og målrettede enheter

Angriperne fokuserte på å utnytte sikkerhetsfeil og svak legitimasjon i mye brukte IoT-enheter, for eksempel:

• TP-Link rutere
• Zyxel rutere
• Hikvision IP-kameraer

Skadevaren utnyttet sårbarheter for ekstern kjøring av kode og svake passord for å få tilgang, og lastet deretter ned skript for å kompromittere enhetene. Denne globale operasjonen har brukt to primære typer DDoS-angrep:

1. Nettverksoverbelastningsangrep : Oversvømme nettverk med enorme pakker med data for å overvelde båndbredden.
2. Ressursutmattelsesangrep : Opprette mange økter for å tømme serverressurser.

I noen tilfeller kombinerte angripere begge metodene for å maksimere skaden, noe som forårsaket betydelige forstyrrelser i berørte regioner.

Defensive tiltak: Redusere virkningen av Mirai-botnett

Gjenoppblomstringen av Mirai-baserte kampanjer fremhever behovet for organisasjoner for å styrke forsvaret mot DDoS-angrep. Forskere ved Qualys og Trend Micro har gitt kritiske anbefalinger for å bekjempe disse truslene.

Generell beste praksis

1. Overvåk for mistenkelig aktivitet : Spor regelmessig prosesser, hendelser og nettverkstrafikk for tegn på kompromiss.
2. Unngå upålitelige kilder : Avstå fra å kjøre skallskript eller binærfiler fra ukjent opprinnelse.
3. Harden IoT-enheter : Sørg for at enhetene er oppdatert med den nyeste fastvaren og har sterke, unike passord.

Redusere nettverksoverbelastningsangrep

• Bruk brannmurer eller rutere for å blokkere ondsinnede IP-adresser og begrense uønsket trafikk.
• Samarbeid med internettleverandører for å filtrere DDoS-trafikk ved nettverkskanten.
• Oppgrader rutermaskinvare for å håndtere høyere pakkevolum.

Reduserende angrep på ressursutmattelse

• Implementer hastighetsbegrensning for å begrense antall forespørsler fra spesifikke IP-adresser.
• Bruk tredjeparts DDoS-beskyttelsestjenester for å filtrere ondsinnet trafikk.
• Overvåk tilkoblinger kontinuerlig i sanntid og blokker IP-er med overdreven aktivitet.

Den vedvarende arven fra Mirai

Disse siste Mirai botnett-kampanjene fungerer som en sterk påminnelse om risikoen som ubeskyttede IoT-enheter utgjør. Ettersom angripere fortsetter å avgrense taktikken sin og utnytte IoT-sårbarheter, må organisasjoner være årvåkne, proaktive og forberedt på å redusere risikoen for DDoS-angrep. Ved å ta i bruk robuste sikkerhetstiltak og fremme samarbeid mellom cybersikkerhetsinteressenter, kan vi redusere virkningen av disse vedvarende truslene.