Botnet Ballista: Cyberzagrożenie wykorzystujące routery Archer firmy TP-Link

Badacze cyberbezpieczeństwa odkryli kolejną kampanię botnetów o nazwie Ballista, która atakuje niezałatane routery TP-Link Archer. Kampania, wykryta po raz pierwszy 10 stycznia 2025 r., wykorzystuje znaną lukę (CVE-2023-1389) do infiltracji urządzeń i rozprzestrzeniania się w Internecie. W przeciwieństwie do innych botnetów, które wcześniej wykorzystywały tę lukę, Ballista wydaje się być w trakcie aktywnego rozwoju, co stanowi poważny problem dla użytkowników i organizacji na całym świecie.

Czym jest botnet Ballista?

Ballista to kampania złośliwego oprogramowania mająca na celu skompromitowanie podatnych na ataki routerów TP-Link Archer AX-21. Wykorzystuje lukę w zabezpieczeniach CVE-2023-1389 o wysokim stopniu zagrożenia, która umożliwia wstrzykiwanie poleceń i ostatecznie zdalne wykonywanie kodu (RCE). Po skompromitowaniu routera Ballista instaluje się, ustanawia zaszyfrowany kanał poleceń i kontroli (C2) i stosuje ustrukturyzowaną sekwencję ataków, aby osiągnąć swoje cele.

Botnet rozprzestrzenia się poprzez uruchamianie programu malware dropper, zidentyfikowanego jako „dropbpb.sh”, który pobiera i uruchamia główny ładunek na zainfekowanych urządzeniach. To złośliwe oprogramowanie może działać w różnych architekturach systemowych, w tym mips, mipsel, armv5l, armv7l i x86_64. Po dostaniu się do środka botnet wykonuje polecenia, przeprowadza ataki typu „odmowa usługi” (DoS), a nawet usuwa ślady swojej obecności, aby uniknąć wykrycia.

Jakie cele stawia sobie Ballista?

Głównym celem Ballisty wydaje się być uzyskanie kontroli nad zainfekowanymi urządzeniami w różnych złośliwych celach. Niektóre z kluczowych funkcjonalności obejmują:

• Wykonywanie poleceń powłoki: złośliwe oprogramowanie umożliwia atakującym zdalne uruchamianie poleceń powłoki systemu Linux, co daje im szeroką kontrolę nad zainfekowanym routerem.
• Ataki typu DoS (odmowa usługi): Ballista może inicjować ataki typu flood za pomocą polecenia znanego jako „flooder”, zakłócając działanie sieci.
• Rozprzestrzenianie się na inne routery: Złośliwe oprogramowanie może wykorzystywać tę samą lukę w zabezpieczeniach na innych niezałatanych routerach, znacznie zwiększając swój zasięg.
• Dostęp do danych i ich eksfiltracja: Próba odczytania poufnych plików z zainfekowanego systemu, co potencjalnie ujawnia poufne informacje.
• Samozachowanie i ewolucja: Ballista została zaprojektowana tak, aby usuwać poprzednie wersje samej siebie, zapewniając, że aktywna jest tylko najnowsza iteracja. Ponadto ostatnie aktualizacje wskazują, że botnet przeszedł z zakodowanych na stałe adresów IP na używanie domen sieci TOR, co utrudnia śledzenie i łagodzenie.

Jakie są tego konsekwencje?

Pojawienie się Ballisty podkreśla bieżące wyzwania bezpieczeństwa dla urządzeń podłączonych do Internetu, w szczególności routerów klasy konsumenckiej, które często pozostają bez poprawek. Zasięg botnetu jest rozległy, z ponad 6000 docelowych urządzeń rozsianych po Brazylii, Polsce, Wielkiej Brytanii, Bułgarii i Turcji. Został on również powiązany z atakami na przedsiębiorstwa z sektora produkcji, opieki zdrowotnej, usług i technologii w Stanach Zjednoczonych, Australii, Chinach i Meksyku.

Konsekwencje tego botnetu wykraczają poza infekcje pojedynczych routerów. Ponieważ zainfekowane urządzenia mogą być wykorzystywane do cyberataków na dużą skalę, Ballista ma potencjał, aby przyczynić się do globalnych cyberzagrożeń, w tym:

• Wzrost liczby ataków za pośrednictwem botnetów: Wraz ze wzrostem liczby zainfekowanych urządzeń atakujący mogą wykorzystywać Ballistę do skoordynowanych ataków DoS, paraliżując wybrane usługi.
• Naruszenia danych i szpiegostwo: Dostęp do poufnych plików może doprowadzić do nieautoryzowanego wycieku danych, narażając na ryzyko zarówno osoby prywatne, jak i organizacje.
• Luki w łańcuchu dostaw: Przedsiębiorstwa korzystające ze zhakowanych routerów mogą nieświadomie stać się częścią większych kampanii cyberprzestępczych.
• Trudności w śledzeniu i neutralizowaniu: przejście botnetu na korzystanie z domen sieci TOR utrudnia identyfikację atakujących i blokowanie ich operacji.

Jak chronić się przed balistą?

Biorąc pod uwagę powagę zagrożenia, użytkownicy muszą podjąć działania zapobiegawcze w celu zabezpieczenia swoich routerów:

1. Aktualizacja oprogramowania routera: Upewnij się, że oprogramowanie sprzętowe TP-Link Archer AX-21 jest zaktualizowane do najnowszej wersji, ponieważ producenci regularnie wydają poprawki mające na celu usunięcie luk w zabezpieczeniach.
2. Wyłącz zarządzanie zdalne: Jeśli nie jest potrzebne, wyłącz funkcje dostępu zdalnego, aby zapobiec nieautoryzowanym połączeniom.
3. Używaj silnych danych uwierzytelniających: Unikaj domyślnych danych logowania i stosuj złożone hasła do administrowania routerem.
4. Monitoruj ruch sieciowy: Nietypowa aktywność, na przykład skoki w ruchu wychodzącym, może wskazywać na infekcję.
5. Przywrócenie ustawień fabrycznych i ponowna konfiguracja: Jeśli podejrzewasz, że urządzenie zostało naruszone, przywrócenie ustawień fabrycznych i ponowna konfiguracja mogą pomóc w usunięciu złośliwego oprogramowania.
6. Wdróż reguły zapory sieciowej: ogranicz niepotrzebny dostęp do portów administracyjnych i zablokuj podejrzane adresy IP.

Droga przed nami

Ballista nie jest pierwszym botnetem wykorzystującym luki w zabezpieczeniach routerów i z pewnością nie będzie ostatnim. Obecność włoskich ciągów językowych w binariach malware sugeruje możliwe pochodzenie, ale ze względu na jego ewolucyjną naturę prawdziwi operatorzy pozostają nieznani. Przesunięcie botnetu w kierunku sieci anonimowych wskazuje, że jest on aktywnie udoskonalany, co utrudnia działania łagodzące.

Chociaż Ballista różni się od innych botnetów, takich jak Mirai i Mozi, jego zdolność do samorozprzestrzeniania się i wykonywania potężnych ataków sprawia, że jest to godny uwagi rozwój w krajobrazie cyberbezpieczeństwa. W miarę pojawiania się kolejnych szczegółów, pozostawanie poinformowanym i podejmowanie niezbędnych środków ostrożności będzie kluczowe w zapobieganiu rozległym szkodom.

Dzięki priorytetyzowaniu aktualizacji zabezpieczeń i przestrzeganiu najlepszych praktyk użytkownicy mogą zmniejszyć ryzyko Ballisty i podobnych zagrożeń. Walka z botnetami trwa, ale świadomość i terminowe działanie mogą znacznie ograniczyć ich wpływ.