Spinoff-urile Mirai Botnet declanșează un val global de atacuri DDoS

Două filiale de botnet Mirai au lansat campanii agresive de refuzare a serviciului distribuit (DDoS) la nivel mondial, vizând vulnerabilitățile dispozitivelor Internet of Things (IoT) și exploatând acreditările slabe. Campaniile subliniază amenințarea durabilă reprezentată de malware-ul bazat pe Mirai, care rămâne o armă cibernetică puternică la aproape un deceniu de la debutul său infam.

Evoluția lui Mirai: o amenințare persistentă la adresa securității IoT

Rețeaua botnet Mirai a fost mult timp un simbol al vulnerabilităților inerente dispozitivelor IoT. De când codul său sursă a fost divulgat în 2016, Mirai a inspirat nenumărate variante, fiecare bazându-se pe capacitățile devastatoare ale malware-ului original. Două campanii distincte au apărut recent, utilizând programe malware derivate de Mirai pentru a compromite dispozitivele IoT și pentru a lansa atacuri globale DDoS.

Campania 1: Botnetul Murdoc

Una dintre campaniile active, denumită Murdoc Botnet, furnizează malware Mirai pentru a exploata vulnerabilități specifice în dispozitivele IoT, cum ar fi camerele Avtech și routerele Huawei HG532. Potrivit cercetătorilor de la Qualys, rețeaua botnet utilizează exploit-uri cunoscute, inclusiv:

• CVE-2024-7029 : O vulnerabilitate de ocolire a autentificării în camerele Avtech, permițând atacatorilor să injecteze comenzi de la distanță.
• CVE-2017-17215 : Un defect de execuție a codului de la distanță (RCE) în routerele Huawei.

Rețeaua botne Murdoc a început să funcționeze în iulie 2024 și de atunci a compromis peste 1.300 de IP-uri, în principal în Malaezia, Thailanda, Mexic și Indonezia. Cercetătorii au descoperit peste 100 de seturi distincte de servere legate de rețeaua botnet, fiecare însărcinată cu gestionarea dispozitivelor infectate și coordonarea atacurilor ulterioare.

Malware-ul se infiltrează în dispozitive prin fișiere ELF și script shell, care sunt apoi folosite pentru a instala variantele de malware Mirai. Aceste dispozitive infectate sunt armate pentru a participa la atacuri DDoS expansive, creând o rețea mondială de botnet formidabilă.

Campania 2: Malware hibrid care vizează organizațiile globale

O a doua campanie, care folosește programe malware derivate atât de la Mirai, cât și de la Bashlite, a vizat organizații din America de Nord, Europa și Asia. Cercetătorii Trend Micro au identificat atacuri DDoS la scară largă care au afectat inițial corporațiile și băncile japoneze, înainte de a se răspândi la nivel global.

Vectorii de atac și dispozitivele vizate

Atacatorii s-au concentrat pe exploatarea defectelor de securitate și a acreditărilor slabe în dispozitivele IoT utilizate pe scară largă, cum ar fi:

• Routere TP-Link
• Routere Zyxel
• Camere IP Hikvision

Programul malware a exploatat vulnerabilitățile de execuție a codului de la distanță și parolele slabe pentru a obține acces, apoi a descărcat scripturi pentru a compromite dispozitivele. Această operațiune globală a folosit două tipuri principale de atacuri DDoS:

1. Atacuri de supraîncărcare a rețelei : inundați rețelele cu pachete masive de date pentru a copleși lățimea de bandă.
2. Atacuri de epuizare a resurselor : crearea a numeroase sesiuni pentru a epuiza resursele serverului.

În unele cazuri, atacatorii au combinat ambele metode pentru a maximiza daunele, provocând perturbări semnificative în regiunile afectate.

Măsuri defensive: atenuarea impactului rețelelor botnet Mirai

Resurgerea campaniilor bazate pe Mirai evidențiază nevoia organizațiilor de a-și consolida apărarea împotriva atacurilor DDoS. Cercetătorii de la Qualys și Trend Micro au oferit recomandări critice pentru a combate aceste amenințări.

Cele mai bune practici generale

1. Monitorizați activitățile suspecte : urmăriți în mod regulat procesele, evenimentele și traficul de rețea pentru semne de compromis.
2. Evitați sursele de încredere : abțineți-vă de la executarea de scripturi shell sau binare de origini necunoscute.
3. Întăriți dispozitivele IoT : asigurați-vă că dispozitivele sunt actualizate cu cel mai recent firmware și au parole puternice și unice.

Atenuarea atacurilor de supraîncărcare a rețelei

• Utilizați firewall-uri sau routere pentru a bloca adrese IP rău intenționate și a restricționa traficul nedorit.
• Colaborați cu furnizorii de servicii de internet pentru a filtra traficul DDoS la marginea rețelei.
• Actualizați hardware-ul routerului pentru a gestiona volume mai mari de pachete.

Atenuarea atacurilor de epuizare a resurselor

• Implementați limitarea ratei pentru a restricționa numărul de solicitări de la anumite adrese IP.
• Utilizați servicii de protecție DDoS de la terțe părți pentru a filtra traficul rău intenționat.
• Monitorizați continuu conexiunile în timp real și blocați IP-urile cu activitate excesivă.

Moștenirea persistentă a lui Mirai

Aceste ultime campanii de botnet Mirai servesc ca o reamintire clară a riscurilor prezentate de dispozitivele IoT neprotejate. Pe măsură ce atacatorii continuă să-și perfecționeze tacticile și să folosească vulnerabilitățile IoT, organizațiile trebuie să rămână vigilente, proactive și pregătite să atenueze riscurile atacurilor DDoS. Prin adoptarea unor măsuri de securitate robuste și prin promovarea colaborării între părțile interesate din domeniul securității cibernetice, putem reduce impactul acestor amenințări persistente.