CMC Infosec cảnh báo 2 mã độc tấn công vào thiết bị IoT_số liệu thống kê về lecce gặp fiorentina

Mirai và Bashlite,ảnhbáomãđộctấncôngvàothiếtbịsố liệu thống kê về lecce gặp fiorentina kẻ thức thời!

Theo Gartner, trong năm 2016, số lượng thiết bị kết nối IoT trên toàn cầu là 6,5 tỉ, tăng hơn 30% so với năm 2015 và ước tính, đến năm 2020 số lượng thiết bị kết nối không dây hoạt động sẽ vượt quá 30 tỷ thiết bị. Rõ ràng, chỉ cần chiếm được một phần nhỏ trong số thiết bị đó thôi cũng đủ để cho tội phạm mạng gây ra những vụ tấn công kinh điển nhất từ trước tới giờ cũng như thu về những khoản lợi nhuận khổng lồ.

Bằng chứng là trong tháng 9 vừa qua chúng ta đã chứng kiến những cuộc tấn công từ chối dịch vụ được ghi nhận lớn nhất trong lịch sử có cường độ lên tới 650 Gbps nhắm vào  Krebsonsecuriy và 1,5 Tbps  nhắm vào nhà cung cập dịch vụ hosting OVH. Nguồn gốc của 2 cuộc tấn công trên bắt nguồn từ hai mạng botnet có tên là Mirai được cho là đang lây nhiễm hơn 400,000 thiết bị IoT và tồn tại trước đó, Bashlite đã lây nhiễm đến 1 triệu thiết bị IOT trên toàn thế giới, theo báo cáo mới nhất từ Level 3 Threat Research Labs.

Nguyên lý hoạt động

Mirai và Bashlite thực hiện rà quét dải mạng IPv4 nhằm tìm kiếm các thiết bị IoT. Để tối ưu hóa hiệu năng rà quét của mình thì Mirai thực hiện loại bỏ các dải IP như sau:

Sau khi tìm được các thiết bị IoT, Mirai và Bashlite thực hiện truy cập telnet trực tiếp hoặc nếu không được sẽ thực hiện bruteforce mật khẩu qua telnet hoặc ssh. Trong mã nguồn của Mirai cho thấy Mirai có sử dụng 60 tài khoản, mật khẩu mặc định để thực hiện tấn công như root:root; admin:admin1234; guest:guest...

Mặc dù có thể truy cập thành công được thiết bị nhưng cả hai mã độc này lại sử dụng một lệnh đặc biệt của busybox ( tiện ích trên các thiết bị Linux nhúng) do đó bot sẽ không thực hiện lây nhiễm được nếu thiết bị không được cài đặt busybox.

Môt khi sử dụng được busybox, mã độc sẽ thực hiện quá trình lây nhiễm. Đặc biệt sau khi lây nhiễm thành công, Mirai thực hiện tắt tất cả các tiến trình đang hoạt động kết nối tới cổng 22, 23 và 80 và khóa toàn bộ tài khoản đăng nhập trên thiết bị. Ngoài ra, Mirai còn có khả năng rà soát trên bộ nhớ nhằm tìm kiếm và gỡ bỏ mã độc anime và nhiều loại mã độc khác để đảm bảo thiết bị được kiểm soát hoàn toàn. Sau khi thực hiện lây nhiễm thành công, mã độc kết nối tới máy chủ điều khiển và chờ lệnh tấn công

Kỹ thuật tấn công