Eine neue Variante von Mirai – der Botnetz-Malware, die zur Durchführung massiver DDoS-Angriffe genutzt wird – hat es laut Forschern des Cybersicherheitsteams „Unit 42“ von Palo Alto Networks auf IoT-Geräte abgesehen, die mit Linux-Servern verbunden sind. 13 Sicherheitslücken.
Sobald anfällige Geräte durch die als V3G4 bekannte Variante kompromittiert wurden, können sie vom Angreifer vollständig kontrolliert werden und werden Teil eines Botnetzes, das zur Durchführung weiterer Aktivitäten, darunter DDoS-Angriffe, genutzt werden kann.
“Die Komplexität der Angriffe, die diese Schwachstellen ausnutzen, ist geringer als bei zuvor beobachteten Varianten, doch sie haben dennoch schwerwiegende Sicherheitsauswirkungen, die zur Ausführung von Code aus der Ferne führen könnten”, erklärte Unit 42 in seinem Bericht über die neuen Varianten.
[Bringen Sie Ihre Karriere mit den besten Sicherheitszertifizierungen voran: Was sie leisten, wie viel sie kosten und was Sie brauchen. | Melden Sie sich für den CSO-Newsletter an. ]
Laut Unit 42 wurden zwischen Juli und Dezember des vergangenen Jahres bei drei Vorfällen Aktivitäten von V3G4 beobachtet.
Lenovo Lnit2 E3-Automation – Ganzer Film – Conform-3 – HQ MP4 1280x720p
25 Minuten und 0 Sekunden, 14 Sekunden Handelsvolumen 0%
Den Forschern zufolge scheinen alle drei Kampagnen aus mehreren Gründen mit derselben Variante und dem Mirai-Botnetz in Verbindung zu stehen. Sie stellten fest, dass Domains mit fest programmierter Command-and-Control-Infrastruktur (C2), die zur Aufrechterhaltung der Kommunikation mit infizierten Geräten dient, dasselbe Zeichenfolgenformat aufweisen. Zudem werden die Shell-Skripte auf ähnliche Weise heruntergeladen, und alle Angriffe nutzen dieselbe Botnetz-Funktionalität.
Laut Code 42 nutzten die Angreifer, die V3G4 einsetzten, Schwachstellen aus, die zur Ausführung von Code aus der Ferne führen könnten. Nach der Ausführung verfügt die Malware über Funktionen, mit denen überprüft wird, ob das Host-Gerät bereits infiziert ist. Ist dies der Fall, verlässt sie das Gerät. Außerdem versucht sie, eine Reihe von Prozessen aus einer fest programmierten Liste zu deaktivieren, die andere konkurrierende Botnetz-Malware-Familien enthält.
So funktioniert die V2G4-Variante des Mirai
Die Forscher stellten fest, dass zwar die meisten Mirai-Varianten denselben Schlüssel für die Zeichenfolgenverschlüsselung verwenden, die V3G4-Variante jedoch unterschiedliche XOR-Verschlüsselungsschlüssel für verschiedene Szenarien einsetzt (XOR ist eine boolesche Logikoperation, die häufig bei der Verschlüsselung verwendet wird). V3G4 enthält eine Reihe von Standard- oder schwachen Anmeldedaten, um Brute-Force-Angriffe über die Netzwerkprotokolle Telnet und SSH durchzuführen und sich auf andere Rechner auszubreiten. Laut Unit 42 stellt die Variante anschließend Kontakt zum C2-Server her und wartet auf Befehle, um einen DDoS-Angriff auf das Ziel zu starten.
V3G4 hat Sicherheitslücken ausgenutzt, darunter im FreePBX-Verwaltungstool des Asterisk Communications Server (Sicherheitslücke CVE-2012-4869); in Atlassian Confluence (CVE-2022-26134); Webmin-Systemverwaltungstool (CVE-2019-15107); dem DrayTek Vigor Router (CVE-2020-8515 und CVE-2020-15415) sowie dem C-Data Web-Management-System (CVE-2022-4257).
Eine vollständige Liste der bisher beobachteten ausgenutzten Sicherheitslücken, Empfehlungen für Cybersicherheitssoftware, die Infektionen erkennen und verhindern kann, sowie Code-Schnipsel, die als Indikatoren für eine Kompromittierung dienen, finden Sie im Hinweis von Palo Alto. Das Unit 42-Team empfiehlt außerdem, wann immer möglich Patches und Updates zu installieren, um Sicherheitslücken zu beheben.
Wie sich das Mirai-Botnetz entwickelte
In den letzten Jahren hat Mirai versucht, seinen Einflussbereich auf den SD-WAN-Bereich auszuweiten, wobei es auf Videokonferenzsysteme von Unternehmen abzielte und „Original Linux“ nutzte, um mehrere Plattformen zu infizieren.
Das Mirai-Botnetz ist eine Weiterentwicklung einer Reihe von Malware-Paketen, die von Paras Jha, einem Studenten der Rutgers University, entwickelt wurden. Jha stellte es unter dem Namen “Anna-Senpai” ins Internet und nannte es Mirai (japanisch für “Zukunft”). Das Botnetz enthält einige raffinierte Techniken, darunter eine Reihe fest programmierter Passwörter.
Im Dezember 2016 bekannten sich Jha und seine Komplizen der Straftaten im Zusammenhang mit den Mirai-Angriffen schuldig. Zu diesem Zeitpunkt war der Code jedoch bereits in Umlauf und wurde als Baustein für weitere Botnetz-Steuerprogramme genutzt.
Das bedeutet, dass jeder damit versuchen kann, IoT-Geräte zu infizieren und DDoS-Angriffe zu starten, oder diese Fähigkeit an den Meistbietenden zu verkaufen. Viele Cyberkriminelle tun dies bereits oder passen ihren Code an und verbessern ihn, um die Aufdeckung zu erschweren.
Die erste Welle von Mirai-Angriffen ereignete sich am 19. September 2016 und richtete sich gegen den französischen Hosting-Anbieter OVH. Mirai war zudem für einen DDoS-Angriff auf den DNS-Anbieter Dyn im Jahr 2016 verantwortlich, an dem etwa 100.000 infizierte Geräte beteiligt waren. Infolgedessen sind wichtige Internetplattformen und -dienste für Nutzer in Europa und Nordamerika nicht erreichbar.
