Новый IoT-ботнет набирает обороты

Новый ботнет из незащищенных web- и IP-камер наращивает объем, сканируя интернет на наличие подключенных уязвимых устройств «Интернета вещей» (IoT). В марте текущего года исследователь безопасности Пьер Ким (Pierre Kim) сообщил о порядка 185 тыс. незащищенных камер, продающихся под 1200 брендами. Эксперт уведомил производителя о проблеме, однако так и не получил ответ.

По данным ИБ-экспертов, с 16 апреля злоумышленники начали масштабное сканирование интернета. Первыми сканирование зафиксировали исследователи Технологического института SANS. Специалисты обратили внимание на участившиеся попытки поиска открытых портов 81, однако не могли определить причину.

Точки на «i» расставил новый отчет экспертов из Qihoo 360 Network Security Research Lab (NetLab). Согласно отчету, сканирование осуществляет новый IoT-ботнет. Исследователям также удалось проанализировать образец вредоносного ПО, инфицирующего уязвимые устройства. В коде были обнаружены отсылки к Mirai, однако, по мнению экспертов, вредонос не является его вариантом. Специалисты считают, что вредоносное ПО представляет собой замаскированную под Mirai новую угрозу.

Атака осуществляется следующим образом. Сначала злоумышленники сканируют Сеть в поисках встроенного в уязвимые камеры web-сервера GoAhead. Обнаружив уязвимый хост, хакеры эксплуатируют обнаруженную Кимом уязвимость. Если атака удалась, злоумышленники получают права суперпользователя, загружают вредоносное ПО и переходят к другому хосту. Поиски новой жертвы осуществляются через порт 81 предыдущего зараженного устройства.

За одну неделю с 16 апреля эксперты NetLab ежедневно фиксировали 2,7 млн сканирований, осуществляемых с 57,4 тыс. уникальных IP-адресов. В настоящее время ботнет управляется с C&C-сервера, расположенного в иранских доменах load.gtpnet.ir и ntp.gtpnet.ir  23 апреля ботнет использовался для проведения DDoS-атаки на российский банк.