Mirai Botnet Spinoffs sproži globalni val napadov DDoS

Dva spinoffa botneta Mirai sta po vsem svetu sprožila agresivne kampanje za porazdeljeno zavrnitev storitve (DDoS) , ciljajo na ranljivosti v napravah interneta stvari (IoT) in izkoriščajo šibke poverilnice. Kampanje poudarjajo trajno grožnjo, ki jo predstavlja zlonamerna programska oprema na osnovi Miraija, ki ostaja močno kibernetsko orožje skoraj desetletje po svojem zloglasnem prvencu.

Miraijeva evolucija: stalna grožnja varnosti IoT

Botnetno omrežje Mirai je že dolgo simbol ranljivosti, ki je del naprav IoT. Odkar je njegova izvorna koda ušla leta 2016, je Mirai navdihnil nešteto različic, od katerih je vsaka gradila na uničujočih zmožnostih prvotne zlonamerne programske opreme. Pred kratkim sta se pojavili dve različni kampanji, ki izkoriščata zlonamerno programsko opremo, pridobljeno iz Miraija, za ogrožanje naprav IoT in zagon globalnih napadov DDoS.

Kampanja 1: Murdoc Botnet

Ena od aktivnih kampanj, imenovana Murdoc Botnet, zagotavlja zlonamerno programsko opremo Mirai za izkoriščanje posebnih ranljivosti v napravah IoT, kot so kamere Avtech in usmerjevalniki Huawei HG532. Po mnenju raziskovalcev pri Qualys botnet uporablja znane podvige, vključno z:

• CVE-2024-7029 : Ranljivost obvoda avtentikacije v kamerah Avtech, ki napadalcem omogoča oddaljeno vnašanje ukazov.
• CVE-2017-17215 : Napaka pri oddaljenem izvajanju kode (RCE) v usmerjevalnikih Huawei.

Botnet Murdoc je začel delovati julija 2024 in je od takrat ogrozil več kot 1300 naslovov IP, predvsem v Maleziji, na Tajskem, v Mehiki in Indoneziji. Raziskovalci so odkrili več kot 100 različnih nizov strežnikov, povezanih z botnetom, od katerih je vsak zadolžen za upravljanje okuženih naprav in usklajevanje nadaljnjih napadov.

Zlonamerna programska oprema se infiltrira v naprave prek datotek ELF in lupinskih skriptov, ki se nato uporabijo za namestitev različic zlonamerne programske opreme Mirai. Te okužene naprave so opremljene z orožjem za sodelovanje v ekspanzivnih napadih DDoS, s čimer se ustvari mogočno globalno omrežje botnetov.

Kampanja 2: Hibridna zlonamerna programska oprema, ki cilja na globalne organizacije

Druga kampanja, ki uporablja zlonamerno programsko opremo, pridobljeno iz Mirai in Bashlite, je ciljala na organizacije po vsej Severni Ameriki, Evropi in Aziji. Raziskovalci podjetja Trend Micro so identificirali obsežne napade DDoS, ki so sprva prizadeli japonske korporacije in banke, preden so se razširili po vsem svetu.

Vektorji napadov in ciljne naprave

Napadalci so se osredotočili na izkoriščanje varnostnih napak in šibkih poverilnic v pogosto uporabljenih napravah IoT, kot so:

• Usmerjevalniki TP-Link
• Zyxel usmerjevalniki
• Hikvision IP kamere

Zlonamerna programska oprema je za pridobitev dostopa izkoristila ranljivosti oddaljenega izvajanja kode in šibka gesla, nato pa prenesla skripte, da bi ogrozila naprave. Ta globalna operacija je uporabila dve glavni vrsti napadov DDoS:

1. Napadi preobremenitve omrežja : Preplavljanje omrežij z ogromnimi paketi podatkov, ki preobremenijo pasovno širino.
2. Napadi zaradi izčrpanosti virov : Ustvarjanje številnih sej za izčrpavanje virov strežnika.

V nekaterih primerih so napadalci združili obe metodi, da bi povečali škodo, kar je povzročilo znatne motnje v prizadetih regijah.

Obrambni ukrepi: ublažitev vpliva botnetov Mirai

Ponovna oživitev kampanj, ki temeljijo na Miraiju, poudarja potrebo, da organizacije okrepijo svojo obrambo pred napadi DDoS. Raziskovalci pri Qualys in Trend Micro so podali kritična priporočila za boj proti tem grožnjam.

Splošni najboljši postopki

1. Spremljajte sumljivo dejavnost : redno spremljajte procese, dogodke in omrežni promet za znake ogroženosti.
2. Izogibajte se nezaupljivim virom : vzdržite se izvajanja lupinskih skriptov ali binarnih datotek neznanega izvora.
3. Utrdite naprave IoT : Zagotovite, da so naprave posodobljene z najnovejšo strojno programsko opremo in imajo močna, edinstvena gesla.

Ublažitev napadov preobremenitve omrežja

• Uporabite požarne zidove ali usmerjevalnike za blokiranje zlonamernih naslovov IP in omejitev neželenega prometa.
• Sodelujte s ponudniki internetnih storitev za filtriranje prometa DDoS na robu omrežja.
• Nadgradite strojno opremo usmerjevalnika za obdelavo večjih količin paketov.

Ublažitev napadov zaradi izčrpanosti virov

• Izvedite omejitev hitrosti, da omejite število zahtev z določenih naslovov IP.
• Za filtriranje zlonamernega prometa uporabite zaščitne storitve drugih proizvajalcev DDoS.
• Nenehno spremljajte povezave v realnem času in blokirajte IP-je s prekomerno aktivnostjo.

Vztrajna zapuščina Mirai

Te najnovejše kampanje botnetov Mirai služijo kot oster opomin o tveganjih, ki jih predstavljajo nezaščitene naprave IoT. Medtem ko napadalci še naprej izpopolnjujejo svoje taktike in izkoriščajo ranljivosti interneta stvari, morajo organizacije ostati previdne, proaktivne in pripravljene ublažiti tveganja napadov DDoS. S sprejetjem robustnih varnostnih ukrepov in spodbujanjem sodelovanja med deležniki kibernetske varnosti lahko zmanjšamo vpliv teh vztrajnih groženj.