Kaiji Malware Brute Forces Eenvoudig te raden combinatie van gebruikersnaam en wachtwoord voor succesvolle aanvallen

De zogenaamde Internet of Things (IoT) revolutie heeft het online ecosysteem in veel verschillende aspecten veranderd, en cybersecurity is geen uitzondering. Hackers wisten dat slimme gadgets en andere IoT-apparaten niet veel meer zijn dan kleine computers met ingekorte (meestal op Linux gebaseerde) besturingssystemen, en ze waren vastbesloten dit feit te exploiteren.

Een paar minder succesvolle IoT-bedreigingen verschenen voordat Mirai op het toneel verscheen en het recordboek volledig herschreef als het gaat om Distributed Denial of Service (DDoS) -aanvallen. De kolossale aanvallen van het botnet waren krachtig genoeg om grote delen van het internet in hele regio's van de wereld te vernietigen, en ze lieten zien hoe gevaarlijk gewapende IoT-gadgets kunnen zijn. Ze lieten ook iedereen zien hoe slecht de IoT-beveiliging is. Je zou denken dat we onze lessen inmiddels wel hebben geleerd. Je zou denken dat we onze slimme apparaten moeilijker hadden kunnen hacken. Nou, je zou het mis hebben.

Kaiji - een gloednieuwe IoT-malwarefamilie

Een groep onafhankelijke onderzoekers met de naam MalwareMustDie stuitte onlangs op Kaiji, een niet eerder gerapporteerde soort IoT-malware. Hoewel ze er nog nooit van hadden gehoord, dachten de experts in eerste instantie waarschijnlijk dat het enige nieuwe aan de malware de naam zou zijn.

Na Mirai's historische DDoS-aanvallen begonnen de beveiligingsgemeenschap en wetshandhavers de auteurs van de malware op te sporen. Uiteindelijk werden de makers van 's werelds krachtigste DDoS-botnet geïdentificeerd, maar daarvoor was Mirai's broncode gelekt. Sindsdien zijn vrijwel alle IoT-malwarefamilies die DDoS-aanvallen wilden lanceren, gebaseerd op Mirai. Er zijn nieuwe namen en nieuwe componenten, maar de kern is altijd vrijwel identiek en komt van de beruchte Mirai.

Kaiji werd echter vanaf de grond geschreven in Go Lang. Geen enkele regel code is ergens anders gekopieerd, wat betekent dat we voor het eerst in een tijdje een IoT-malwarefamilie hebben die we kunnen vergelijken met Mirai. Dus, hoe stapelt het zich op?

Is Kaiji de nieuwe Mirai?

Feit is dat we op dit moment niet veel weten over Kaiji. Onderzoekers van Intezer schreven een technisch rapport over de nieuwe malware, die het vermoeden van MalwareMustDie ondersteunt dat Kaiji is geschreven door Chinese hackers. De malware is klaarblijkelijk bereid om verschillende soorten DDoS-aanvallen uit te voeren, maar het lijkt erop dat deze nog in ontwikkeling is. Op een bepaald moment tijdens de analyse merkten de onderzoekers van Intezer op dat Kaiji te veel RAM gebruikte en later zagen ze dat delen van de Command & Control-infrastructuur niet operationeel waren - een duidelijke aanwijzing dat de malware-auteurs nog wat werk te doen hebben.

Ze hebben echter hun eerste infectievector gekozen en hun beslissing kan ons niet alleen veel vertellen over Kaiji, maar ook over het hele IoT-landschap.

Nieuwe malware, oude trucs

Kaiji infecteert nieuwe apparaten door hun SSH-inloggegevens bruut te forceren. SSH is een netwerkprotocol waarmee je andere apparaten op afstand kunt bedienen, en op veel plaatsen zul je zien dat het veel veiliger is dan Telnet, het communicatieprotocol dat Mirai gebruikt om slimme gadgets te rekruteren. Een van de belangrijkste verschillen is inderdaad dat SSH-verbindingen gecodeerd zijn, maar in dit specifieke geval maakt dit niet uit.

Zowel Mirai als Kaiji dwingen bruut hun weg, wat betekent dat de aanvallen niet gericht zijn op de protocollen, maar op de inloggegevens. Het enkele feit dat deze inloggegevens nog steeds een geldige infectievector bevatten, spreekt boekdelen over de staat van IoT-beveiliging. Kaiji en Mirai maken zelfs geen gebruik van de slechte beslissingen van het wachtwoordbeheer van mensen. In plaats daarvan profiteren ze van het feit dat veel te veel apparaten nog steeds standaardreferenties gebruiken.

De fabrikanten van IoT-gadgets brengen de apparaten op de markt uit met eenvoudig te raden inloggegevens waarmee iedereen de controle over hen kan overnemen. In de hoop dat niemand geïnteresseerd zou zijn in het hacken van deze specifieke gadgets, slagen leveranciers er vaak niet in een manier te implementeren om de zwakke wachtwoorden bij te werken, waardoor een aanval nog meer kans van slagen heeft. Zelfs als er een mechanisme voor wachtwoordherstel is, kunnen gebruikers er vaak niet de moeite voor nemen om het te gebruiken.

Dit was het geval in 2016 toen Mirai zijn eerste punten maakte, en het is nu duidelijk het geval, wat aantoont dat we de afgelopen vier jaar niets hebben geleerd.