Lesezeit: 4 Minuten

Am 21. Oktober 2016 war nur eine Malware erforderlich, um ein Botnetz zu bilden, das das domänenbasierte Internet für viele an der Ostküste der USA und in Europa unzugänglich machte. Es war der größte Cyberangriff, der zu Internetausfällen in der Geschichte der USA führte . Wir stehen vor dem zweiten Jahrestag des berüchtigten Mirai-Botnetzes.

Ein Botnetz ist, wenn viele Computer mit Zombie-Malware infiziert werden, wodurch sie von einem zentralen Server gesteuert werden können, um Cyber-Angriffe mit ihrer kollektiven Rechenleistung und Bandbreite durchzuführen. Sie sind eine beliebte Methode, um verteilten Denial-of-Service durchzuführen (DDoS) Angriffe Dadurch können alle Arten von Netzwerkgeräten und Internet-Servern heruntergefahren werden. Denial-of-Service-Angriffe werden bereitgestellt, indem ein Netzwerkziel mit Paketen überfüllt wird, bis sein Speicherpuffer überfüllt ist und es heruntergefahren werden muss. Der verteilte Teil impliziert, dass viele Computer bei der Durchführung eines Denial-of-Service-Angriffs koordiniert sind.

Mirai suchte im Internet über den Telnet-Port nach IoT-Geräten (Internet of Things). Wenn ein Gerät einen offenen Telnet-Port hätte, würde die Mirai-Malware es versuchen Eine Kombination aus 61 bekannten Standardkombinationen für Benutzername und Passwort um eine zu finden, die es ihm ermöglicht, sich böswillig zu authentifizieren. Wenn eine Kombination funktionierte, wurde das Gerät dem massiven und wachsenden Mirai-Botnetz hinzugefügt. Die meisten Geräte, die mit Mirai-Malware infiziert waren, waren mit dem Internet verbundene Fernsehkameras und Router.

Der erste größere Internet-Server-Angriff des Mirai-Botnetzes zielte darauf ab OVH, ein französischer Cloud-Dienstleister. Zwei DDoS-Angriffe mit einer Bandbreite von bis zu 799 Gbit / s haben einige von OVH gehostete Minecraft-Server heruntergefahren. Bis dahin bestand das Botnetz aus 145,607 Geräten.

Der Comodo-Malware-Forscher Venkat Ramanan beobachtet das Mirai-Botnetz seit seiner Entdeckung. „Der erste Vorfall des Mirai-Botnetzes wurde im August 2016 entdeckt. Im selben Jahr wurden Millionen von IoT-Geräteangriffen verzeichnet. Mirais Cyberkriminelle hat im Oktober 2016 Mirais Quellcode auf Github hochgeladen. “

Am 21. Oktober 2016 traf das Mirai-Botnetz das Dyn-Netzwerk der DNS-Server. DNS-Server lösen Domainnamen (wie z. B. google.com) in IP-Adressen (wie z. B. 8.8.8.8) auf, damit sich Menschen diese IP-Adressen nicht merken müssen, um auf Internetdienste zugreifen zu können. Dyn ist ein weit verbreiteter DNS-Anbieter, weshalb die Ausfallzeit die domänenbasierte Internetnutzung für viele Menschen unzugänglich machte. Dyn veröffentlichte ihre Analyse des Angriffs nach ihrer Reaktion auf den Vorfall:

„Am Freitag, den 21. Oktober 2016, von ungefähr 11:10 UTC bis 13:20 UTC und dann erneut von 15:50 UTC bis 17:00 UTC, wurde Dyn von zwei großen und komplexen DDoS-Angriffen (Distributed Denial of Service) angegriffen unsere verwaltete DNS-Infrastruktur. Diese Angriffe wurden von den Engineering- und Betriebsteams von Dyn erfolgreich abgewehrt, jedoch nicht bevor unsere Kunden und deren Endbenutzer erhebliche Auswirkungen hatten.

Der erste Angriff begann am Freitag, dem 11. Oktober 10, um 21:2016 UTC. Wir stellten eine erhöhte Bandbreite für unsere Managed DNS-Plattform im asiatisch-pazifischen Raum, in Südamerika, Osteuropa und in den Regionen USA-West fest, die sich auf eine typisch assoziierte Weise präsentierten mit einer DDoS-Angriff...

Dieser Angriff hat ein wichtiges Gespräch über Internetsicherheit und Volatilität eröffnet. Es hat nicht nur Schwachstellen in der Sicherheit von IoT-Geräten (Internet of Things) hervorgehoben, die behoben werden müssen, sondern auch einen weiteren Dialog in der Internetinfrastruktur-Community über die Zukunft des Internets ausgelöst. Wie in der Vergangenheit freuen wir uns darauf, zu diesem Dialog beizutragen. “

Der Angriff machte nicht nur darauf aufmerksam, wie anfällig IoT-Geräte sein können, sondern diente auch als hervorragende Erinnerung daran, die Standardeinstellungen Ihrer mit dem Internet verbundenen Geräte - insbesondere Benutzernamen und Kennwörter - immer zu ändern!

Nun, Mirai ist zurück und schlimmer als je zuvor. Eine der Herausforderungen bei der Entwicklung von IoT-Malware besteht darin, wie unterschiedlich IoT-Geräte voneinander sind. IoT-Geräte weisen eine enorme Vielfalt auf, da sie sich von industriellen Steuerungen bis zu medizinischen Geräten, von Kinderspielzeug bis zu Küchengeräten, als alles manifestieren können. Sie können eine Vielzahl verschiedener Betriebssysteme und eingebetteter Software ausführen, sodass bösartiger Code, der die Sicherheitsanfälligkeiten auf einem bestimmten Gerät ausnutzen kann, die meisten anderen Geräte normalerweise nicht ausnutzen kann. Mit Hilfe des Aboriginal Linux-Projekts kann die neueste Mirai-Malware jedoch eine Vielzahl von IoT-Geräten ausnutzen. Ein Malware-Forscher entdeckte es in freier Wildbahn:

„Ende Juli bin ich auf einen Live-Remote-Server gestoßen, auf dem mehrere Malware-Varianten für jeweils eine bestimmte Plattform gehostet werden. Wie bei vielen Mirai-Infektionen wird zunächst ein Shell-Skript auf einem anfälligen Gerät ausgelöst. Dieses Shell-Skript versucht nacheinander, einzelne ausführbare Dateien nacheinander herunterzuladen und auszuführen, bis eine Binärdatei gefunden wird, die der aktuellen Architektur entspricht.

Dies ist zwar ein ähnliches Verhalten wie bei den Mirai-Varianten, die wir bisher gesehen haben, aber was es interessant macht, ist die kompilierte Binärdatei. Diese Varianten wurden mithilfe eines Open-Source-Projekts namens Aboriginal Linux erstellt, das den Prozess der Cross-Kompilierung einfach, effektiv und praktisch ausfallsicher macht. Es sollte beachtet werden, dass an diesem Open-Source-Projekt nichts Bösartiges oder Falsches ist. Die Malware-Autoren setzen erneut legitime Tools ein, um ihre Kreationen zu ergänzen, diesmal mit einer effektiven Cross-Compilation-Lösung.

Da die vorhandene Codebasis mit einem eleganten Cross-Compilation-Framework kombiniert wird, sind die resultierenden Malware-Varianten robuster und kompatibel mit mehreren Architekturen und Geräten, sodass sie auf einer Vielzahl von Geräten ausgeführt werden können, darunter Router, IP-Kameras und angeschlossene Geräte. und sogar Android-Geräte. “

Wenn Sie über IoT-Geräte verfügen, auf denen eine Version von Linux oder Android ausgeführt wird, und die Sicherheit gegen diese neueste Version von Mirai erhöhen möchten, können Sie Folgendes tun. Deaktivieren Sie nach Möglichkeit die Telnet-Anmeldungen und blockieren Sie den Telnet-Port vollständig. Wenn Sie Standardbenutzernamen und -kennwörter verwenden, ändern Sie diese! Deaktivieren Sie Universal Plug and Play (UpnP), wenn Sie können, und stellen Sie kabelgebundenes Ethernet anstelle von WLAN bereit, wenn Sie dazu in der Lage sind. Wenn Sie WLAN verwenden müssen, stellen Sie nur eine Verbindung zu verschlüsseltem WLAN her (WPA2 oder das kommende WPA3 ist am besten) und verfügen Sie über ein komplexes Kennwort für Ihren drahtlosen Zugangspunkt.

Verwandte Ressource:

TESTEN SIE IHRE E-MAIL-SICHERHEIT ERHALTEN SIE IHRE SOFORTIGE SICHERHEITSKORECARD KOSTENLOS Quelle: https://blog.comodo.com/comodo-news/mirai-strikes-back/