„Mirai Botnet“ variantas išnaudoja „Four Faith“ maršrutizatoriaus trūkumą, kad išlaisvintų DDoS atakas

Ryškiai primindamas apie didėjančius robotų tinklų keliamus pavojus, naujasis Mirai variantas nuo 2024 m. lapkričio pradžios naudoja „Four-Faith“ pramoninių maršrutizatorių pažeidžiamumą. Šis naujausias robotų tinklas, pavadintas „gayfemboy“ (terminas kilęs iš įžeidžiančių šaltinio kodo nuorodų) , pabrėžia nuolatinę paskirstytų paslaugų atsisakymo (DDoS) atakų grėsmę ir pabrėžia tvirtos kibernetinio saugumo apsaugos poreikis.

Kasdien 15 000 aktyvių IP paskirstytų tokiuose regionuose kaip Kinija, Iranas, Rusija, Turkija ir JAV, todėl šis robotų tinklas išaugo iki niokojančių mastų. Jo gebėjimas panaudoti ir nulinės dienos pažeidžiamumą, ir daugiau nei 20 žinomų saugos trūkumų sąrašas yra pavojaus skambutis įmonėms ir individualiems vartotojams.

Išnaudojamas pažeidžiamumas: CVE-2024-12856

Naujausios robotų tinklo kampanijos pagrindas yra CVE-2024-12856, komandų įpurškimo pažeidžiamumas, turintis įtakos keturių tikėjimų maršrutizatorių modeliams F3x24 ir F3x36. Dėl trūkumo, kurio CVSS balas yra 7,2, užpuolikai gali išnaudoti maršrutizatorius, sukonfigūruotus nepakeistais numatytais kredencialais.

Nuo pat atradimo 2024 m. lapkričio mėn. šis pažeidžiamumas buvo aktyviai išnaudojamas siekiant pateikti kenksmingus naudingus krovinius, įskaitant atvirkštinius apvalkalus ir „Mirai“ pagrindu sukurtą kenkėjiškų programų variantą. Nukreipdami į pramoninio lygio maršruto parinktuvus, užpuolikai gali panaudoti labai prijungtus įrenginius , padidindami savo robotų tinklo pasiekiamumą ir efektyvumą.

Daugialypė atakos strategija

„Mirai“ variante naudojamas įvairių taktikų derinys, siekiant užkrėsti įrenginius ir padidinti jo poveikį:

1. Pradinė prieiga naudojant silpnus kredencialus
   „Botnet“ nuskaito įrenginius su silpnais „Telnet“ kredencialais arba gamykliniais numatytais nustatymais – tai yra įprasta saugos priežiūra daugelyje IoT ir pramoninių sistemų.
2. Ilgo pažeidžiamumų sąrašo išnaudojimas
   Be CVE-2024-12856, robotų tinklas išnaudoja daugiau nei 20 papildomų pažeidžiamumų, įskaitant 2013 m. trūkumus, pvz.:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. „Mirai“ pagrįstos kenkėjiškų programų galimybės
   Įdiegta kenkėjiška programinė įranga naudoja šiuos metodus:
   • Slėpti kenksmingus procesus.
   • Vykdykite komandas, kad surastumėte naujus pažeidžiamus įrenginius.
   • Nuolat atnaujinkite kenkėjiškų programų apkrovą.
   • Pradėti tikslines DDoS atakas.

Išpuolių mastas ir poveikis

Botnetas kasdien surengė DDoS atakas prieš šimtus taikinių, pasiekdamas 100 Gbps pralaidumo viršūnę. Nors šios atakos dažnai trunka vos 10–30 sekundžių, staigus srauto antplūdis gali užblokuoti serverius, sutrikdyti paslaugų teikimą ir padaryti didelę žalą.

Pažymėtina, kad 2024 m. spalio ir lapkričio mėn. botnetų aktyvumas išaugo, kai kenkėjiška programa agresyviai ieškojo ir pažeidžia įrenginius.

Platesnė botneto grėsmė

Šis naujausias „Mirai“ variantas yra dalis didesnės tendencijos, kai kibernetiniai nusikaltėliai naudojasi daiktų interneto ir pramoninių įrenginių pažeidžiamumu kurdami robotų tinklus . Panašios kampanijos apima:

• „Juniper Networks“ įspėjimas : kenkėjiški veikėjai taikosi į „Session Smart Router“ (SSR) produktus naudodami numatytuosius slaptažodžius, kad platintų „Mirai“ kenkėjišką programą.
• Akamai ataskaita : Mirai infekcijos ginkluoja nuotolinio kodo vykdymo trūkumus DigiEver DVR.

Šie incidentai atspindi nerimą keliančią tikrovę: kadangi įrenginiai lieka netinkamai sukonfigūruoti arba nepataisyti, užpuolikai ir toliau juos išnaudos, kad padidintų savo robotų tinklų armijas.

Kaip apsisaugoti nuo Mirai botnetų ir DDoS atakų

Atsižvelgiant į nuolatinę ir besikeičiančią „Mirai“ pagrindu veikiančių robotų tinklų grėsmę, organizacijoms ir vartotojams labai svarbu imtis visapusiškų saugumo priemonių:

1. Pakeiskite numatytuosius kredencialus
   Pakeiskite gamyklinius numatytuosius slaptažodžius visuose įrenginiuose tvirtais, unikaliais kredencialais.
2. Reguliariai pataisykite ir atnaujinkite įrenginius
   Atnaujinkite maršrutizatoriaus programinę-aparatinę įrangą ir programinę įrangą, kad sumažintumėte žinomus pažeidžiamumus, pvz., CVE-2024-12856.
3. Įdiekite tinklo segmentavimą
   Atskirkite daiktų internetą ir pramoninius įrenginius nuo kritinių tinklų, kad apribotumėte judėjimą į šoną.
4. Stebėkite neįprastą eismą
   Naudokite įsibrovimų aptikimo sistemas (IDS) ir anomalija pagrįstus stebėjimo įrankius, kad aptiktumėte neįprastus srauto modelius, rodančius DDoS veiklą.
5. Įdiekite anti-DDoS sprendimus
   Debesis pagrįsta DDoS apsauga gali sugerti ir sušvelninti didelio pralaidumo atakas, kol jos pasiekia jūsų tinklą.
6. Apriboti Telnet ir nuotolinę prieigą
   Išjunkite Telnet prieigą ir apribokite nuotolinio valdymo sąsajas tik patikimais IP.

DDoS grėsmės vystosi

Naujausias „Mirai botnet“ variantas yra daugiau nei tik dar viena kenkėjiškų programų atmaina – tai vis sudėtingesnių DDoS grėsmių pranašas. Išnaudodami pramoninių maršrutizatorių ir daiktų interneto įrenginių pažeidžiamumą, užpuolikai kuria didesnio pasiekiamumo ir destruktyvaus potencialo robotų tinklus.

Kad išvengtų šių grėsmių, organizacijos ir asmenys turi išlikti budrūs, apsaugoti savo įrenginius ir imtis iniciatyvių kibernetinio saugumo priemonių. Kaip rodo ši kampanija, net ir iš pažiūros nedideli pažeidžiamumai gali turėti didžiulį poveikį, jei į juos neatsižvelgiama.