Mirai Botnet-variant utnyttjar Four-Faith-routerfel för att släppa lös DDoS-attacker

Som en skarp påminnelse om de växande farorna som botnät utgör, har en ny Mirai-variant utnyttjat sårbarheter i Four-Faith industriella routrar sedan början av november 2024. Detta senaste botnät, kallat "gayfemboy" (en term som kommer från dess stötande källkodsreferenser) , belyser det ihållande hotet från DDoS-attacker (distributed denial-of-service) och understryker behovet av robusta cybersäkerhetsförsvar.

Med 15 000 dagliga aktiva IP-adresser spridda över regioner som Kina, Iran, Ryssland, Turkiet och USA, har detta botnät skalat till förödande proportioner. Dess förmåga att utnyttja både nolldagssårbarheter och en tvättlista med över 20 kända säkerhetsbrister är en väckarklocka för både företag och enskilda användare.

Den exploaterade sårbarheten: CVE-2024-12856

Kärnan i botnätets senaste kampanj är CVE-2024-12856, en sårbarhet för kommandoinjektion som påverkar Four-Faith-routermodellerna F3x24 och F3x36. Felet, som har en CVSS-poäng på 7,2, tillåter angripare att utnyttja routrar som är konfigurerade med oförändrade standarduppgifter.

Sedan upptäckten i november 2024 har denna sårbarhet aktivt utnyttjats för att leverera skadliga nyttolaster, inklusive omvända skal och en Mirai-baserad variant av skadlig programvara. Genom att rikta in sig på industriella routrar kan angripare utnyttja högt uppkopplade enheter , vilket förstärker deras botnäts räckvidd och effektivitet.

En flerdelad attackstrategi

Mirai-varianten använder en kombination av taktik för att infektera enheter och maximera dess effekt:

1. Första åtkomst via svaga inloggningsuppgifter
   Botnätet söker efter enheter med svaga Telnet-uppgifter eller fabriksinställningar, en vanlig säkerhetsöversyn i många IoT- och industrisystem.
2. Utnyttja en lång lista av sårbarheter
   Utöver CVE-2024-12856 utnyttjar botnätet över 20 ytterligare sårbarheter, inklusive brister som går tillbaka till 2013, såsom:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Mirai-baserade skadlig programvara
   När skadlig programvara har distribuerats använder den tekniker för att:
   • Dölj skadliga processer.
   • Utför kommandon för att lokalisera nya sårbara enheter.
   • Uppdatera kontinuerligt dess nyttolast för skadlig programvara.
   • Starta riktade DDoS-attacker.

Attackernas omfattning och inverkan

Botnätet har orkestrerat dagliga DDoS-attacker på hundratals mål och uppnått bandbreddstoppar på 100 Gbps. Även om dessa attacker ofta bara varar i 10 till 30 sekunder, kan det plötsliga tillflödet av trafik överväldiga servrar, störa tjänster och orsaka betydande skada.

Noterbart var att oktober och november 2024 såg en ökning av botnätsaktivitet, med skadlig programvara som aggressivt skannade efter och kompromissade enheter.

Hotet om det bredare botnätet

Den här senaste Mirai-varianten är en del av en större trend med cyberkriminella som utnyttjar sårbarheter i IoT och industriella enheter för att bygga botnät . Liknande kampanjer inkluderar:

• Juniper Networks-varning : Skadliga aktörer som inriktar sig på Session Smart Router-produkter (SSR) med standardlösenord för att sprida skadlig programvara från Mirai.
• Akamai-rapport : Mirai infektioner med vapen som gör att fjärrkodexekveringsfel i DigiEver DVR:er.

Dessa incidenter återspeglar en oroande verklighet: eftersom enheter förblir felkonfigurerade eller oparpade kommer angripare att fortsätta att utnyttja dem för att växa sina botnätsarméer.

Hur man skyddar sig mot Mirai Botnets och DDoS-attacker

Med tanke på det ihållande och växande hotet från Mirai-baserade botnät är det avgörande för organisationer och användare att vidta omfattande säkerhetsåtgärder:

1. Ändra standardinloggningsuppgifter
   Ersätt fabriksstandardlösenord på alla enheter med starka, unika referenser.
2. Lagra och uppdatera enheter regelbundet
   Håll routerns firmware och programvara uppdaterad för att mildra kända sårbarheter som CVE-2024-12856.
3. Implementera nätverkssegmentering
   Isolera IoT och industriella enheter från kritiska nätverk för att begränsa sidorörelser.
4. Övervaka för ovanlig trafik
   Använd intrångsdetekteringssystem (IDS) och anomalibaserade övervakningsverktyg för att upptäcka ovanliga trafikmönster som tyder på DDoS-aktivitet.
5. Distribuera Anti-DDoS-lösningar
   Molnbaserat DDoS-skydd kan absorbera och mildra attacker med hög bandbredd innan de når ditt nätverk.
6. Begränsa Telnet och fjärråtkomst
   Inaktivera Telnet-åtkomst och begränsa fjärrhanteringsgränssnitt till endast betrodda IP-adresser.

DDoS-hot utvecklas

Den senaste Mirai botnätvarianten är mer än bara en annan skadlig kod – den är ett förebud om den ökande sofistikeringen av DDoS-hot. Genom att utnyttja sårbarheter i industriella routrar och IoT-enheter skapar angripare botnät med större räckvidd och destruktiv potential.

För att ligga steget före dessa hot måste organisationer och individer vara vaksamma, säkra sina enheter och anta proaktiva cybersäkerhetsmetoder. Som den här kampanjen visar kan även till synes mindre sårbarheter ha en enorm inverkan om de inte åtgärdas.