top of page
Forfatters billedeThomas Pedersen

Mirai DDoS malware tilføjer flere og flere routerere som angrebsmål

En variant af Mirai DDoS-malware udvider sine mål med 13 router-udnyttelser. En Mirai-baseret DDoS (distribueret tjenestenægtelses) malware botnet, der er kendt som IZ1H9, har tilføjet tretten nye nyttelaster for at angribe Linux-baserede routere samt routere fra D-Link, Zyxel, TP-Link, TOTOLINK og andre.


Mirai DDoS, Malware, Cyberangreb, Hacking, D-Link, Zyxel, TP-Link, TOTOLINK, Linux, Malware botnet, Denial of service attack, IT-sikkerhed

Forskere fra Fortinet rapporterer, at de observerede en spids i udnyttelsesraterne omkring første uge af september, hvor der blev foretaget titusinder af udnyttelsesforsøg mod sårbare enheder.


IZ1H9 kompromitterer enheder for at inkludere dem i sin DDoS-sværm og lancerer derefter DDoS-angreb mod specificerede mål, sandsynligvis på ordre fra klienter, der lejer dens styrke.


Observerede udnyttelsesforsøg i hele september. Omfattende målretning af IoT-enheder.


Jo flere enheder og sårbarheder, der bliver mål for en DDoS-malware, jo større er potentialet for at opbygge et stort og kraftfuldt botnet, der er i stand til at levere massive angreb mod hjemmesider.


I tilfælde af IZ1H9 rapporterer Fortinet, at den bruger udnyttelser for følgende sårbarheder, dateret fra 2015 til 2023:

  • D-Link devices: CVE-2015-1187, CVE-2016-20017, CVE-2020-25506, CVE-2021-45382

  • Netis WF2419: CVE-2019-19356

  • Sunhillo SureLine (versions before 8.7.0.1.1): CVE-2021-36380

  • Geutebruck products: CVE-2021-33544, CVE-2021-33548, CVE-2021-33549, CVE-2021-33550, CVE-2021-33551, CVE-2021-33552, CVE-2021-33553, CVE-2021-33554

  • Yealink Device Management (DM) 3.6.0.20: CVE-2021-27561, CVE-2021-27562

  • Zyxel EMG3525/VMG1312 (before V5.50): CVE not specified but targets the Zyxel device’s /bin/zhttpd/ component vulnerability

  • TP-Link Archer AX21 (AX1800): CVE-2023-1389

  • Korenix JetWave wireless AP: CVE-2023-23295

  • TOTOLINK routers: CVE-2022-40475, CVE-2022-25080, CVE-2022-25079, CVE-2022-25081, CVE-2022-25082, CVE-2022-25078, CVE-2022-25084, CVE-2022-25077, CVE-2022-25076, CVE-2022-38511, CVE-2022-25075, CVE-2022-25083


Sådan foregår angrebe


Efter at have udnyttet en af de nævnte CVE'er, injiceres en IZ1H9 nyttelast i enheden, der indeholder en kommando til at hente en skalleskriftsdownloader ved navn "l.sh" fra en angivet URL.


Ved eksekvering slettes logfilerne for at skjule den ondsindede aktivitet, og derefter hentes botklienter skræddersyet til forskellige systemarkitekturer.


Endelig ændrer skriptet enhedens iptables-regler for at blokere forbindelsen på specifikke porte og gøre det sværere at fjerne malwaren fra enheden.


Efter at have udført alt det ovenstående opretter robotten kommunikation med C2 (kommando- og kontrol) serveren og venter på kommandoer til udførelse.


De understøttede kommandoer vedrører typen af DDoS-angreb, der skal iværksættes, herunder UDP, UDP Plain, HTTP-flod og TCP SYN. Fortinet rapporterer også, at IZ1H9 har en dataafsnit med hardcodede legitimationsoplysninger, der bruges til brute-force angreb. Disse angreb kan være nyttige til spredning til tilstødende enheder eller til godkendelse af IoT-enheder, hvor den ikke har en fungerende udnyttelse.


Ejere af IoT-enheder anbefales at bruge stærke administratorlegitimationsoplysninger, opdatere dem til den nyeste tilgængelige firmwareversion og om muligt begrænse deres eksponering for det offentlige internet.

Comments


bottom of page