Kaiji Malware Brute Force des combinaisons de nom d'utilisateur et de mot de passe faciles à deviner pour des attaques réussies

La révolution de l'Internet des objets (IoT) a changé l'écosystème en ligne sous de nombreux aspects différents, et la cybersécurité ne fait pas exception. Les pirates savaient que les gadgets intelligents et autres appareils IoT ne sont guère plus que de petits ordinateurs avec des systèmes d'exploitation réduits (principalement basés sur Linux), et ils étaient déterminés à exploiter ce fait.

Quelques menaces IoT moins que réussies sont apparues avant que Mirai n'entre en scène et ne réécrive complètement le livre des records en ce qui concerne les attaques par déni de service distribué (DDoS). Les attaques colossales du botnet étaient suffisamment puissantes pour faire tomber de gros morceaux d'Internet dans des régions entières du monde, et elles ont montré à quel point les gadgets IoT armés pouvaient être dangereux. Ils ont également montré à tout le monde l'état de sécurité de l'IoT. On pourrait penser que nous aurions déjà appris nos leçons. On pourrait penser que nous aurions rendu nos appareils intelligents plus difficiles à pirater. Eh bien, vous auriez tort.

Kaiji - une toute nouvelle famille de logiciels malveillants IoT

Un groupe de chercheurs indépendants portant le nom de MalwareMustDie est récemment tombé sur Kaiji - une souche de malware IoT non signalée auparavant. Bien qu'ils n'en aient jamais entendu parler auparavant, les experts ont probablement pensé au début que la seule nouvelle chose au sujet du malware serait le nom.

Après les attaques DDoS historiques de Mirai, la communauté de la sécurité et les agences d'application de la loi ont commencé à traquer les auteurs du malware. Finalement, les créateurs du botnet DDoS le plus puissant du monde ont été identifiés, mais avant cela, le code source de Mirai a été divulgué. Depuis lors, pratiquement toutes les familles de logiciels malveillants IoT qui ont décidé de lancer des attaques DDoS sont basées sur Mirai. Il y a de nouveaux noms et de nouveaux composants, mais le noyau est toujours à peu près identique, et il vient du fameux Mirai.

Kaiji, cependant, a été écrit de fond en comble à Go Lang. Aucune ligne de code n'a été copiée d'ailleurs, ce qui signifie que pour la première fois depuis un certain temps, nous avons une famille de logiciels malveillants IoT que nous pouvons comparer à Mirai. Alors, comment ça se superpose?

Kaiji est-il le nouveau Mirai?

Le fait est que nous ne savons pas grand-chose sur Kaiji pour le moment. Des chercheurs d' Intezer ont rédigé un rapport technique sur le nouveau malware, qui confirme les soupçons de MalwareMustDie selon lesquels Kaiji a été écrit par des pirates chinois. Le malware est apparemment prêt à lancer plusieurs types d'attaques DDoS, mais il semblerait qu'il soit toujours en cours de développement. À un moment donné de l'analyse, les chercheurs d'Intezer ont remarqué que Kaiji consommait trop de RAM, et ils ont vu plus tard que des parties de l'infrastructure de Command & Control n'étaient pas opérationnelles - une indication claire que les auteurs de logiciels malveillants ont encore du travail à faire.

Cependant, ils ont choisi leur vecteur d'infection initial et leur décision peut nous en dire beaucoup non seulement sur Kaiji, mais sur l'ensemble du paysage IoT.

Nouveaux malwares, vieilles astuces

Kaiji infecte de nouveaux appareils en forçant brutalement leurs identifiants de connexion SSH. SSH est un protocole réseau qui vous permet de contrôler à distance d'autres appareils, et dans de nombreux endroits, vous le verrez décrit comme beaucoup plus sécurisé que Telnet, le protocole de communication que Mirai utilise pour recruter des gadgets intelligents. En effet, l'une des principales différences est que les connexions SSH sont cryptées, mais dans ce cas particulier, cela n'a pas d'importance.

Mirai et Kaiji forcent tous deux leur chemin, ce qui signifie que les attaques ne visent pas les protocoles, mais les identifiants de connexion. Le simple fait que ces informations de connexion présentent toujours un vecteur d'infection valide en dit long sur l'état de la sécurité IoT. Kaiji et Mirai n'exploitent même pas les mauvaises décisions de gestion des mots de passe des gens. Au lieu de cela, ils profitent du fait que trop d'appareils utilisent encore des informations d'identification par défaut.

Les fabricants de gadgets IoT lancent les appareils sur le marché avec des identifiants de connexion faciles à deviner qui pourraient permettre à quiconque d'en prendre le contrôle. En espérant que personne ne serait intéressé par le piratage de ces gadgets particuliers, les fournisseurs échouent souvent à mettre en œuvre un moyen de mettre à jour les mots de passe faibles, ce qui rend une attaque encore plus susceptible de réussir. Même s'il existe un mécanisme de réinitialisation du mot de passe, les utilisateurs ne sont souvent pas gênés de l'utiliser.

Ce fut le cas en 2016 lorsque Mirai a fait ses premières marques, et c'est clairement le cas maintenant, ce qui montre que nous n'avons rien appris au cours des quatre dernières années.