Variante do botnet Mirai explora falha do roteador Four-Faith para desencadear ataques DDoS

Em um lembrete gritante dos perigos crescentes representados por botnets, uma nova variante do Mirai vem explorando vulnerabilidades em roteadores industriais Four-Faith desde o início de novembro de 2024. Esta última botnet, apelidada de "gayfemboy" (um termo derivado de suas referências ofensivas ao código-fonte), destaca a ameaça persistente de ataques de negação de serviço distribuído (DDoS) e ressalta a necessidade de defesas de segurança cibernética robustas.

Com 15.000 IPs ativos diários espalhados por regiões como China, Irã, Rússia, Turquia e EUA, essa botnet atingiu proporções devastadoras. Sua capacidade de alavancar vulnerabilidades de dia zero e uma longa lista de mais de 20 falhas de segurança conhecidas é um chamado para despertar empresas e usuários individuais.

A Vulnerabilidade Explorada: CVE-2024-12856

No centro da campanha recente da botnet está a CVE-2024-12856, uma vulnerabilidade de injeção de comando que afeta os modelos de roteador Four-Faith F3x24 e F3x36. A falha, que tem uma pontuação CVSS de 7,2, permite que invasores explorem roteadores configurados com credenciais padrão inalteradas.

Desde sua descoberta em novembro de 2024, essa vulnerabilidade tem sido explorada ativamente para entregar payloads maliciosos, incluindo shells reversos e uma variante de malware baseada em Mirai. Ao mirar em roteadores de nível industrial, os invasores podem alavancar dispositivos altamente conectados , amplificando o alcance e a eficácia de sua botnet.

Uma estratégia de ataque multifacetada

A variante Mirai emprega uma combinação de táticas para infectar dispositivos e maximizar seu impacto:

1. Acesso inicial por meio de credenciais fracas
   A botnet verifica se há dispositivos com credenciais Telnet fracas ou configurações padrão de fábrica, uma supervisão de segurança comum em muitos sistemas industriais e de IoT.
2. Explorando uma longa lista de vulnerabilidades
   Além do CVE-2024-12856, o botnet explora mais de 20 vulnerabilidades adicionais, incluindo falhas que datam de 2013, como:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Recursos de malware baseados em Mirai
   Uma vez implantado, o malware adota técnicas para:
   • Oculte processos maliciosos.
   • Execute comandos para localizar novos dispositivos vulneráveis.
   • Atualize continuamente sua carga de malware.
   • Lance ataques DDoS direcionados.

A escala e o impacto dos ataques

A botnet orquestrou ataques DDoS diários em centenas de alvos, atingindo picos de largura de banda de 100 Gbps. Embora esses ataques geralmente durem apenas de 10 a 30 segundos, o fluxo repentino de tráfego pode sobrecarregar servidores, interromper serviços e infligir danos significativos.

Notavelmente, outubro e novembro de 2024 registraram um aumento na atividade de botnet, com o malware escaneando agressivamente e comprometendo dispositivos.

A ameaça mais ampla da botnet

Esta última variante do Mirai faz parte de uma tendência maior de cibercriminosos explorando vulnerabilidades em IoT e dispositivos industriais para construir botnets . Campanhas semelhantes incluem:

• Aviso da Juniper Networks : Atores mal-intencionados têm como alvo produtos Session Smart Router (SSR) com senhas padrão para espalhar malware Mirai.
• Relatório da Akamai : infecções por Mirai transformam falhas de execução remota de código em DVRs DigiEver em armas.

Esses incidentes refletem uma realidade preocupante: como os dispositivos permanecem mal configurados ou sem patches, os invasores continuarão a explorá-los para aumentar seus exércitos de botnets.

Como se proteger contra botnets Mirai e ataques DDoS

Dada a ameaça persistente e crescente de botnets baseadas em Mirai, é fundamental que organizações e usuários adotem medidas de segurança abrangentes:

1. Alterar credenciais padrão
   Substitua as senhas padrão de fábrica em todos os dispositivos por credenciais fortes e exclusivas.
2. Aplique patches e atualize os dispositivos regularmente
   Mantenha o firmware e o software do roteador atualizados para mitigar vulnerabilidades conhecidas, como CVE-2024-12856.
3. Implementar segmentação de rede
   Isole dispositivos industriais e de IoT de redes críticas para limitar o movimento lateral.
4. Monitorar tráfego incomum
   Use sistemas de detecção de intrusão (IDS) e ferramentas de monitoramento baseadas em anomalias para detectar padrões de tráfego incomuns indicativos de atividade DDoS.
5. Implantar soluções anti-DDoS
   A proteção DDoS baseada em nuvem pode absorver e mitigar ataques de alta largura de banda antes que eles cheguem à sua rede.
6. Limitar Telnet e acesso remoto
   Desabilite o acesso Telnet e restrinja as interfaces de gerenciamento remoto somente a IPs confiáveis.

As ameaças DDoS estão evoluindo

A mais recente variante do botnet Mirai é mais do que apenas outra cepa de malware — é um prenúncio da crescente sofisticação das ameaças DDoS. Ao explorar vulnerabilidades em roteadores industriais e dispositivos IoT, os invasores estão criando botnets com maior alcance e potencial destrutivo.

Para ficar à frente dessas ameaças, organizações e indivíduos devem permanecer vigilantes, proteger seus dispositivos e adotar práticas proativas de segurança cibernética. Como esta campanha demonstra, mesmo vulnerabilidades aparentemente menores podem ter um impacto enorme se não forem tratadas.