A Mirai Botnet Variant a Four-Faith Router hibáját használja ki a DDoS támadások felszabadítására

A botnetek által jelentett növekvő veszélyek éles emlékeztetőjeként egy új Mirai-változat 2024. november eleje óta használja ki a Four-Faith ipari útválasztók sebezhetőségét. Ez a legújabb botnet, amelyet „gayfemboy”-nak kereszteltek (ez a kifejezés a sértő forráskód-hivatkozásokból származik) , kiemeli az elosztott szolgáltatásmegtagadási (DDoS) támadások állandó fenyegetését, és kiemeli a robusztus kiberbiztonsági védelemre van szükség.

A napi 15 000 aktív IP-vel olyan régiókban, mint Kína, Irán, Oroszország, Törökország és az Egyesült Államok, ez a botnet pusztító méreteket öltött. A nulladik napi sérülékenységek és a több mint 20 ismert biztonsági hibából álló mosólista kiaknázására való képessége ébresztő a vállalatok és az egyéni felhasználók számára egyaránt.

A kihasznált biztonsági rés: CVE-2024-12856

A botnet legutóbbi kampányának középpontjában a CVE-2024-12856 áll, amely a F3x24 és F3x36 Four-Faith router modelleket érinti. A 7,2-es CVSS-pontszámú hiba lehetővé teszi a támadók számára, hogy kihasználják a változatlan alapértelmezett hitelesítő adatokkal konfigurált útválasztókat .

2024 novemberi felfedezése óta ezt a sérülékenységet aktívan kihasználták rosszindulatú rakományok szállítására, beleértve a fordított shelleket és a Mirai-alapú rosszindulatú programváltozatokat. Az ipari minőségű útválasztók megcélzásával a támadók kihasználhatják a szorosan csatlakoztatott eszközöket , növelve ezzel a botnet elérhetőségét és hatékonyságát.

Többirányú támadási stratégia

A Mirai változat többféle taktikát alkalmaz az eszközök megfertőzésére és hatásának maximalizálására:

1. Kezdeti hozzáférés gyenge hitelesítő adatokkal
   A botnet gyenge Telnet hitelesítési adatokkal vagy gyári alapértelmezett beállításokkal rendelkező eszközöket keres, ami gyakori biztonsági felügyelet számos IoT és ipari rendszerben.
2. A sebezhetőségek hosszú listájának kihasználása
   A CVE-2024-12856-on túl a botnet több mint 20 további sebezhetőséget használ ki, beleértve a 2013-ig visszanyúló hibákat is, mint például:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Mirai-alapú rosszindulatú programok
   A telepítést követően a rosszindulatú program a következő technikákat alkalmazza:
   • A rosszindulatú folyamatok elrejtése.
   • Parancsok végrehajtása az új sebezhető eszközök megkereséséhez.
   • Folyamatosan frissítse a rosszindulatú programokat.
   • Indítson célzott DDoS támadásokat.

A támadások mértéke és hatása

A botnet napi DDoS támadásokat szervezett több száz célpont ellen, 100 Gbps-os sávszélesség-csúcsot érve el. Bár ezek a támadások gyakran csak 10-30 másodpercig tartanak, a hirtelen beáramló forgalom túlterhelheti a szervereket, megzavarhatja a szolgáltatásokat, és jelentős károkat okozhat.

Nevezetesen, 2024 októberében és novemberében megugrott a botnet-tevékenység, a rosszindulatú programok agresszíven keresték és veszélyeztették az eszközöket.

A szélesebb körű botnet fenyegetés

Ez a legújabb Mirai-változat része annak a nagyobb trendnek, amely szerint a kiberbűnözők kihasználják az IoT és az ipari eszközök sebezhetőségét botnetek létrehozására . Hasonló kampányok a következők:

• Juniper Networks figyelmeztetés : Rosszindulatú szereplők, akik alapértelmezett jelszavakkal célozzák meg a Session Smart Router (SSR) termékeket a Mirai rosszindulatú programok terjesztésére.
• Akamai jelentés : A Mirai fertőzések fegyveressé teszik a távoli kódvégrehajtási hibákat a DigiEver DVR-ekben.

Ezek az incidensek aggasztó valóságot tükröznek: mivel az eszközök továbbra is rosszul konfigurálva vagy javítva maradnak, a támadók továbbra is kihasználják őket botnet-seregük bővítésére.

Hogyan védekezzünk a Mirai botnetek és a DDoS támadások ellen

Tekintettel a Mirai-alapú botnetek állandó és folyamatosan fejlődő fenyegetettségére, a szervezetek és a felhasználók számára kulcsfontosságú, hogy átfogó biztonsági intézkedéseket fogadjanak el:

1. Módosítsa az alapértelmezett hitelesítő adatokat
   Cserélje le a gyárilag alapértelmezett jelszavakat minden eszközön erős, egyedi hitelesítési adatokkal.
2. Rendszeresen javítsa és frissítse az eszközöket
   Tartsa frissítve az útválasztó firmware-ét és szoftverét az ismert biztonsági rések, például a CVE-2024-12856 csökkentése érdekében.
3. Hálózati szegmentáció megvalósítása
   Az IoT és az ipari eszközök elkülönítése a kritikus hálózatoktól az oldalirányú mozgás korlátozása érdekében.
4. Figyelemmel kíséri a szokatlan forgalmat
   Használjon behatolásérzékelő rendszereket (IDS) és anomáliákon alapuló megfigyelő eszközöket a DDoS tevékenységre utaló szokatlan forgalmi minták észlelésére.
5. DDoS elleni megoldások telepítése
   A felhőalapú DDoS-védelem képes elnyelni és mérsékelni a nagy sávszélességű támadásokat, mielőtt azok elérnék a hálózatot.
6. Korlátozza a Telnetet és a Távoli hozzáférést
   Tiltsa le a Telnet hozzáférést, és korlátozza a távoli felügyeleti interfészeket csak a megbízható IP-címekre.

A DDoS veszélyei fejlődnek

A Mirai legújabb botnet-változata több, mint egy újabb rosszindulatú programtörzs – a DDoS fenyegetések egyre kifinomultabbá válásának előhírnöke. Az ipari útválasztók és IoT-eszközök sebezhetőségeinek kihasználásával a támadók nagyobb eléréssel és pusztító potenciállal rendelkező botneteket hoznak létre.

E fenyegetések megelőzéséhez a szervezeteknek és az egyéneknek ébernek kell maradniuk, meg kell védeniük eszközeiket, és proaktív kiberbiztonsági gyakorlatokat kell alkalmazniuk. Ahogy ez a kampány is mutatja, még a látszólag kisebb sebezhetőségek is hatalmas hatást gyakorolhatnak, ha figyelmen kívül hagyják őket.