La botnet InfectedSlurs diffonde il malware Mirai con attacchi zero-day

Analisi riassuntiva

• Il team SIRT (Security Intelligence Response Team) di Akamai ha scoperto due vulnerabilità zero-day con una funzionalità RCE (Remote Code Execution) sfruttata in rete.

• Queste due vulnerabilità sono state segnalate ai fornitori di soluzioni. Siamo in attesa di ricevere aggiornamenti sui modelli interessati e le patch appropriate da tali fornitori  (probabilmente a dicembre 2023) prima di poter pubblicare ulteriori dettagli. 

• Queste vulnerabilità vengono sfruttate attivamente in rete per realizzare una botnet DDoS (Distributed Denial-of-Service) .

• Tale botnet è stata coinvolta in una lunga campagna monitorata dal team SIRT di Akamai dalla fine del 2022, che ha infettato i nostri honeypot personalizzati e che sfrutta la popolare famiglia di malware Mirai. 

• Il payload utilizzato dai criminali prende di mira router e dispositivi NVR (Network Video Recorder) usando le credenziali di amministratore predefinite e installando le varianti Mirai in caso di riuscita dell'attacco. 

Identificazione dei payload

Sulle pagine di destinazione dei dispositivi identificati, viene incluso uno script che gestisce la crittografia lato client in JavaScript dei valori di nome utente e password prima che venga effettuata una richiesta POST al backend dello script CGI per l'elaborazione. Utilizzando questo codice, siamo stati in grado di invertire il processo di crittografia e ottenere i valori di nome utente e password in testo in chiaro dai tentativi di autenticazione dei payload dell'exploit che avevamo osservato. In tal modo, siamo riusciti a stabilire che i payload osservati avevano probabilmente preso di mira questi dispositivi ancora da identificare.

Esaminando questi dispositivi più in dettaglio, abbiamo potuto individuare alcuni indizi su ciò che stavamo osservando.  Le esposizioni della porta e dei servizi iniziali hanno suggerito il supporto RTSP (Real-Time Streaming Protocol) e hanno offerto credenziali di accesso per gli "spettatori", supponendo si trattasse di una videocamera di sicurezza/CCTV/NVR/DVR. In alcuni casi, i dispositivi rilevati in rete con l'indirizzo HTTPS attivato hanno presentato una fuga di altre informazioni dalla riga dell'oggetto del certificato HTTPS che ci ha indirizzato ad un dominio specifico, che risaliva ad un produttore NVR.

Esaminando i manuali e la documentazione di alcune delle soluzioni NVR proposte, siamo riusciti a verificare che le credenziali in testo in chiaro osservate nel payload dell'exploit sono un comune valore predefinito, che abbiamo visto usare in molti prodotti e da molte aziende, ma vengono specificamente documentate da questo produttore in più manuali di prodotti NVR come credenziali amministrative predefinite.

Il team SIRT ha effettuato un rapido controllo delle CVE note per influire sui dispositivi NVR di questo fornitore e, sorprendentemente, ha notato che si è trattato di un nuovo exploit zero-day sfruttato attivamente in rete. Tramite il processo di divulgazione responsabile, il fornitore ci ha comunicato di lavorare su una correzione che dovrebbe essere distribuita a dicembre 2023.  Pertanto, teniamo in sospeso il nome del fornitore per ora, ma nel frattempo pubblichiamo questo blog per consentire alla comunità di controllare le loro reti.

Abbiamo deciso di esaminare in modo più approfondito la campagna che ha creato la botnet sottostante, che ha sfruttato questo exploit zero-day, riprendendo i nostri registri di monitoraggio di honeypot, malware e botnet. Esaminando i nuovi riscontri che stavano diffondendo questi esempi di malware, abbiamo identificato un secondo exploit zero-day ugualmente sfruttato come parte di questa campagna.

L'identificazione del dispositivo in questo secondo caso è stata molto più semplice perché le sue credenziali amministrative predefinite includevano il numero di modello del dispositivo. Questo secondo dispositivo è un router LAN wireless progettato per alberghi e applicazioni residenziali. Anche questo secondo fornitore prevede di divulgare i dettagli a dicembre 2023. Pertanto, anche noi non pubblichiamo il nome del fornitore.

Chi e cosa sono interessati?

Non abbiamo ancora un rapporto completo dal fornitore NVR dei modelli e delle versioni del dispositivo che si ritiene vengano influenzati. Il team SIRT prevede che il fornitore NVR produrrà circa 100 videocamere NVR/DVR/IP, ma senza alcuna fuga di informazioni sulla versione dai dispositivi per interazioni pubbliche sfruttati in rete, è difficile sapere esattamente quali sono interessati o meno.  Dai manuali online, si intende che vari modelli che utilizzano la combinazione predefinita di credenziali vengono sfruttati come parte di questa campagna.

L'exploit zero-day sferrato contro il fornitore del router sembra aver preso di mira un solo modello, ma è probabilmente interessato anche il numero di modello di una sottovariante, che potrebbe essere un'applicazione abbastanza univoca da essere considerata come secondo modello indipendente. Tuttavia, il fornitore del router produce vari switch e router, e, sebbene l'exploit sia stato confermato per il primo dispositivo dal produttore giapponese tramite il coordinamento JPCERT, non sappiamo se si tratta dell'unico modello influenzato in tutta la linea di prodotti. La funzione sfruttata è molto comune ed è possibile che sia stato riutilizzato il codice nei prodotti della stessa linea.

Anche se queste informazioni sono limitate, ci sentiamo la responsabilità di avvisare la comunità circa lo sfruttamento di queste CVE che sta avvenendo in rete. Esiste una linea sottile tra le informazioni divulgate in modo responsabile per aiutare gli addetti ai sistemi di difesa e la condivisione eccessiva di informazioni che possono dare adito ad ulteriori abusi da parte di orde di criminali.

Ci proponiamo di pubblicare un blog di follow-up con ulteriori dettagli e approfondimenti sui dispositivi e sui payload dell'exploit una volta che i fornitori e i CERT saranno sicuri che le divulgazioni responsabili, l'applicazione delle patch e i rimedi abbiano preso la loro strada.

Rilevamento

Il team SIRT di Akamai sta collaborando con CISA/US-CERT e JPCERT per avvisare i fornitori circa i dispositivi che sono stati interessati. Ci siamo impegnati a non pubblicare tutti i dettagli per dare ai fornitori il tempo necessario per rilasciare le patch appropriate, tuttavia, poiché queste vulnerabilità vengono sfruttate attivamente, stiamo pubblicando le regole Snort e YARA per aiutare gli addetti ai sistemi di sicurezza ad identificare i tentativi di sfruttamento e le possibili infezioni nei loro ambienti. Una volta rilasciate le patch appropriate, pubblicheremo un blog di follow-up con ulteriori dettagli sugli exploit e sui payload sfruttati in questa campagna.

Traffico C2

Utilizzato per rilevare il traffico di rete sull'infrastruttura InfectedSlurs C2

Regole YARA

Script di supporto InfectedSlurs

File binari Mirai InfectedSlurs

Indicatori di compromissione

SHA256SUMs

Esempi di malware

Domini C2

Mitigazione

Come con qualsiasi minaccia, una mitigazione tempestiva riveste la massima importanza. Ecco alcuni consigli per proteggersi da InfectedSlurs e da altre botnet simili.

Infezioni InfectedSlur

• Innanzitutto, controllate le credenziali predefinite dei dispositivi IoT e cambiatele, se esistono.

• Se individuate dispositivi che ritenete vulnerabili nei vostri ambienti, isolateli, se possibile, e indagate alla ricerca di potenziali violazioni.

Attacchi DDoS

• Valutate e seguite i suggerimenti forniti dalla CISA. 

• Esaminate accuratamente le sottoreti e gli spazi IP di importanza critica per accertarvi che siano in atto efficaci controlli di mitigazione.

• Stabilite continui controlli di sicurezza DDoS come livello di difesa principale per limitare la necessità di effettuare un'integrazione urgente e alleviare il carico di lavoro che grava sugli addetti alla sicurezza. 

• Configurate controlli di sicurezza proattivi tramite un firewall di rete cloud. Questo firewall esterno è un potente strumento intuitivo e facile da implementare che consente di bloccare in modo efficiente il traffico indesiderato a livello globale e in maniera centralizzata, proteggendo le reti e specifici obiettivi che si trovano al loro interno.

• Eseguite test ed eliminate le opportunità che si verifichi il movimento laterale per limitare la propagazione e ridurre il rilevamento e i tempi di mitigazione nel caso di un attacco.

Conclusione

L'utilizzo di honeypot nella cybersicurezza è fondamentale: questi sistemi esca implementati in modo strategico sono progettati specificamente per attirare e rilevare i criminali, fornendo preziose informazioni su cosa pensano e sulle tattiche, sulle tecniche e sulle procedure che utilizzano. L'integrazione degli honeypot in una strategia di cybersicurezza è un potente strumento per l'intelligence sulle minacce, il rilevamento tempestivo e un continuo miglioramento delle misure di difesa nel mutevole scenario della sicurezza digitale.

Poiché gli honeypot emulano la vulnerabilità degli ambienti reali, le informazioni che possono fornire agli addetti alla sicurezza sono indubbiamente preziose per loro. Le pratiche di difesa basate sulla realtà, anziché sulla paura, sull'incertezza e sui dubbi, forniscono una strategia molto più proattiva. Tenersi aggiornati sulle minacce emergenti perfeziona le misure di sicurezza e migliora la resilienza complessiva.

Se l'ambiente della vostra organizzazione non garantisce una configurazione di honeypot completa, mantenere gli elementi basilari è fondamentale. Non si rimarcherà mai abbastanza l'importanza di cambiare la password predefinita di un dispositivo. Minacce come le botnet e i ransomware si basano sulle password predefinite che sono ampiamente note e facilmente accessibili per la propagazione. Più una minaccia riesce a muoversi difficilmente, meno possibilità ci sono per potenziali violazioni della sicurezza e accessi non autorizzati. Potete eseguire dei test per il movimento laterale con Infection Monkey, la nostra piattaforma di emulazione delle attività dei criminali gratuita e open-source.