Mirai Botnet-variant udnytter fire-faith-routerfejl til at udløse DDoS-angreb

Som en skarp påmindelse om de voksende farer, som botnets udgør, har en ny Mirai-variant udnyttet sårbarheder i Four-Faith industrielle routere siden begyndelsen af november 2024. Dette seneste botnet, kaldet "gayfemboy" (et udtryk, der stammer fra dets stødende kildekodereferencer) , fremhæver den vedvarende trussel om distribuerede denial-of-service (DDoS)-angreb og understreger behovet for robuste cybersikkerhedsforsvar.

Med 15.000 daglige aktive IP'er spredt på tværs af regioner som Kina, Iran, Rusland, Tyrkiet og USA, er dette botnet skaleret til ødelæggende proportioner. Dets evne til at udnytte både nul-dages sårbarheder og en vaskeri liste med over 20 kendte sikkerhedsfejl er et wake-up call for både virksomheder og individuelle brugere.

Den udnyttede sårbarhed: CVE-2024-12856

Kernen i botnettets seneste kampagne er CVE-2024-12856, en kommandoindsprøjtningssårbarhed, der påvirker Four-Faith-routermodellerne F3x24 og F3x36. Fejlen, som har en CVSS-score på 7,2, giver angribere mulighed for at udnytte routere, der er konfigureret med uændrede standardoplysninger.

Siden dens opdagelse i november 2024 er denne sårbarhed blevet aktivt udnyttet til at levere ondsindede nyttelaster, herunder omvendte skaller og en Mirai-baseret malware-variant. Ved at målrette mod industrielle routere kan angribere udnytte stærkt forbundne enheder , hvilket forstærker deres botnets rækkevidde og effektivitet.

En flerstrenget angrebsstrategi

Mirai-varianten anvender en kombination af taktik til at inficere enheder og maksimere dens virkning:

1. Indledende adgang via svage legitimationsoplysninger
   Botnettet scanner efter enheder med svage Telnet-legitimationsoplysninger eller fabriksindstillinger, et almindeligt sikkerhedstilsyn i mange IoT- og industrielle systemer.
2. Udnyttelse af en lang liste af sårbarheder
   Ud over CVE-2024-12856 udnytter botnettet over 20 yderligere sårbarheder, inklusive fejl, der går tilbage til 2013, såsom:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Mirai-baserede malware-funktioner
   Når malwaren er installeret, anvender den teknikker til at:
   • Skjul ondsindede processer.
   • Udfør kommandoer for at lokalisere nye sårbare enheder.
   • Opdater løbende sin malware-nyttelast.
   • Start målrettede DDoS-angreb.

Angrebenes omfang og virkning

Botnettet har orkestreret daglige DDoS-angreb på hundredvis af mål, hvilket har opnået båndbreddetoppe på 100 Gbps. Selvom disse angreb ofte kun varer 10 til 30 sekunder, kan den pludselige tilstrømning af trafik overvælde servere, forstyrre tjenester og påføre betydelig skade.

Det er bemærkelsesværdigt, at oktober og november 2024 oplevede en stigning i botnet-aktivitet, hvor malwaren aggressivt scannede efter og kompromitterede enheder.

Den bredere botnet-trussel

Denne seneste Mirai-variant er en del af en større trend med cyberkriminelle, der udnytter sårbarheder i IoT og industrielle enheder til at bygge botnets . Lignende kampagner omfatter:

• Juniper Networks Advarsel : Ondsindede aktører målretter mod Session Smart Router-produkter (SSR) med standardadgangskoder for at sprede Mirai-malware.
• Akamai-rapport : Mirai-infektioner våbengør fjernudførelse af kodefejl i DigiEver DVR'er.

Disse hændelser afspejler en bekymrende virkelighed: Efterhånden som enheder forbliver forkert konfigurerede eller ikke-patchede, vil angribere fortsætte med at udnytte dem til at vokse deres botnet-hære.

Sådan beskyttes mod Mirai Botnets og DDoS-angreb

I betragtning af den vedvarende og udviklende trussel fra Mirai-baserede botnets er det afgørende for organisationer og brugere at vedtage omfattende sikkerhedsforanstaltninger:

1. Skift standardlegitimationsoplysninger
   Erstat fabriksstandardadgangskoder på alle enheder med stærke, unikke legitimationsoplysninger.
2. Patch og opdater enheder regelmæssigt
   Hold routerens firmware og software opdateret for at afbøde kendte sårbarheder som CVE-2024-12856.
3. Implementer netværkssegmentering
   Isoler IoT og industrielle enheder fra kritiske netværk for at begrænse lateral bevægelse.
4. Overvåg for usædvanlig trafik
   Brug systemer til registrering af indtrængen (IDS) og anomalibaserede overvågningsværktøjer til at opdage usædvanlige trafikmønstre, der indikerer DDoS-aktivitet.
5. Implementer Anti-DDoS-løsninger
   Cloud-baseret DDoS-beskyttelse kan absorbere og afbøde angreb med høj båndbredde, før de når dit netværk.
6. Begræns Telnet og fjernadgang
   Deaktiver Telnet-adgang, og begræns fjernstyringsgrænseflader til kun pålidelige IP'er.

DDoS-trusler udvikler sig

Den seneste Mirai botnet-variant er mere end blot endnu en malware-stamme – den er en forkynder for den stigende sofistikering af DDoS-trusler. Ved at udnytte sårbarheder i industrielle routere og IoT-enheder skaber angribere botnets med større rækkevidde og destruktivt potentiale.

For at være på forkant med disse trusler skal organisationer og enkeltpersoner forblive på vagt, sikre deres enheder og vedtage proaktive cybersikkerhedspraksisser. Som denne kampagne viser, kan selv tilsyneladende mindre sårbarheder have en massiv indvirkning, hvis de efterlades.