Ongepatchte routers spelen gastheer voor enorm nieuw botnet

Het volgende internetcrashende botnet begint langzaam wakker te worden. Sinds eind december infecteert een botnet dat bekend staat als Satori nieuwe eindpunten en vertoont het over het algemeen de tekenen van een ramp die eraan komt. Hoe moet u zich schrap zetten voor de volgende grootschalige DDoS-aanval?

Een slapend botnet ontwaakt

De laatste keer dat we het Satori-botnet zagen, was in 2016, toen het nog Mirai heette. We weten dat twee jaar een lange tijd is in informatiebeveiliging, maar het Mirai-botnetincident is moeilijk te vergeten. Met behulp van miljoenen geïnfecteerde IoT-apparaten, zoals routers, beveiligingscamera's en slimme thermostaten, was het Mirai-botnet in staat om de glasvezel-backbone voor bijna de hele Amerikaanse oostkust te laten crashen. De aanval heeft het internet urenlang stilgelegd.

Satori is geen Mirai, maar het is een naaste neef. In tegenstelling tot Mirai, dat een apart onderdeel moest downloaden voordat het actief werd, verspreidt Satori zich als een worm. Geïnfecteerde hosts scannen open poorten op routers en andere IoT-apparaten, op zoek naar specifieke kwetsbaarheden. Tot op heden zijn er drie soorten kwetsbare apparaten geïdentificeerd:

• Huawei Home Gateway routers kunnen een exploiteerbare bug voor het uitvoeren van externe code bevatten. Er is weinig bekend over de kwetsbaarheid en er is momenteel geen patch beschikbaar.
• Realtek routers bevatten een vergelijkbare kwetsbaarheid, maar deze is in veel systemen gepatcht, wat leidt tot een lager succespercentage voor deze exploit.
• DASAN-netwerken, een weinig bekende routerfabrikant in Zuid-Korea, exploiteert ongeveer 40.000 routers. Al deze routers lijken kwetsbaar voor Satori, maar de fabrikant heeft niet gereageerd op beveiligingsonderzoekers en lijkt niet bereid een patch uit te geven.

Onnodig te zeggen dat iedereen die momenteel deze apparaten gebruikt, stappen moet ondernemen om ze indien nodig onmiddellijk te isoleren, te patchen of te vervangen.

Naast het infecteren van routers heeft de exploitant van het Satori-netwerk een winstgevende bijbaan gevonden. Satori-malware is onlangs gericht op en geïnfecteerde cryptocurrency-miningsoftware. Door gebruik te maken van kwetsbaarheden in een softwareprogramma dat bekend staat als Claymore, kon de malware de adressen van cryptocurrency-portemonnee overschrijven met die van de malware-operator. Daarom wordt alle valuta die door de bijbehorende machine wordt gedolven, omgeleid naar de aanvaller. Het Satori-botnet heeft met deze methode al meer dan $ 2.000 USD aan cryptocurrency opgehaald die bekend staat als Ethereum.

Een multifunctioneel botnet?

Het gebruik van dit specifieke botnet om cryptocurrency te minen suggereert dat de exploitant meer in gedachten heeft dan eenvoudige DDoS-aanvallen. Terwijl eerdere botnet-operators hun netwerken graag gebruikten voor afpersing, suggereren andere aanvallen eind 2017 en begin 2018 dat dit bedrijfsmodel misschien begint te veranderen.

Hackers hebben een aantal schema's gelanceerd om verschillende cryptocurrencies te stelen of parasitair te minen. Verschillende groepen zijn begonnen met het gebruik van kwaadaardige adware om websites te infecteren en de CPU's van bezoekers te kapen om Bitcoin te minen. Een andere groep kon de openbare cloud van Tesla Motors infecteren door een onverdedigde Kubernetes-console te kapen.

Hoewel de individuele verwerkingskracht van een enkele router onbeduidend is, kan een netwerk van tienduizenden bots in totaal veel cryptocurrency genereren. Hoewel deze aanvallen relatief onschadelijk kunnen zijn - het gaat tenslotte niet om het stelen of versleutelen van gegevens - is het potentieel voor massale overlast onmiskenbaar.

Hoe u in de gaten kunt houden voor cryptojacking en DDoS-aanvallen

Als u vermoedt dat een aanvaller een van uw IoT-apparaten heeft gekaapt, of als u denkt dat iemand een DDoS-aanval op u heeft gericht, wilt u dit meteen weten. Dit soort geavanceerde aanvallen blijft groeien en het is niet langer OK om blinde vlekken in uw netwerk- en applicatie-infrastructuur te hebben. AppNeta kan helpen door een venster op uw netwerk te bieden. U kunt zien waar netwerk- en applicatievertragingen optreden en snel conclusies trekken over wat er aan de hand is.

DDoS-aanvallen en cryptojacking zullen beide leiden tot merkbare netwerk- en applicatievertragingen, wat een trapsgewijze effect zal hebben op het gebied van productiviteit en reactievermogen van de klant. Als u deze problemen wilt verhelpen voordat ze zich voordoen, neem dan vandaag nog contact op met AppNeta voor een gratis demo.