Новый ботнет на базе Mirai активно эксплуатирует уязвимость удаленного выполнения кода, которая не получила трекерного номера и, судя по всему, не исправлена в сетевых видеорегистраторах DigiEver DS-2105 Pro.
Кампания началась в октябре и направлена на множество сетевых видеорегистраторов и маршрутизаторов TP-Link с устаревшей прошивкой.
Одна из уязвимостей, используемых в кампании, была задокументирована исследователем TXOne Та-Лун Йеном и представлена в прошлом году на конференции по безопасности DefCamp в Бухаресте, Румыния. Тогда исследователь заявил, что проблема затрагивает несколько DVR-устройств.
Исследователи Akamai отметили, что ботнет начал использовать дефект в середине ноября, но нашли доказательства того, что кампания была активна как минимум с сентября.
Помимо дефекта DigiEver, новый вариант вредоносного ПО Mirai также нацелен на CVE-2023-1389 в устройствах TP-Link и CVE-2018-17532 в маршрутизаторах Teltonika RUT9XX.
Атаки на сетевые видеорегистраторы DigiEver
Уязвимость, используемая для взлома сетевых видеорегистраторов DigiEver, представляет собой недостаток удаленного выполнения кода (RCE), и хакеры нацелились на URI '/cgi-bin/cgi_main. cgi', который неправильно проверяет пользовательский ввод.
Это позволяет удаленным неаутентифицированным злоумышленникам выполнять команды типа 'curl' и 'chmod' через определенные параметры, такие как поле ntp в HTTP POST-запросах.
Компания Akamai утверждает, что атаки ботнета на базе Mirai похожи на те, что описаны в презентации Та-Лун Ена.
С помощью инъекции команд злоумышленники получают двоичный файл вредоносной программы с внешнего сервера и включают устройство в свою бот-сеть. Стойкость достигается за счет добавления заданий cron.
После того как устройство скомпрометировано, оно используется для проведения распределенных атак типа «отказ в обслуживании» (DDoS) или для распространения на другие устройства с помощью наборов эксплойтов и списков учетных данных.
По словам представителей Akamai, новый вариант Mirai отличается использованием шифрования XOR и ChaCha20 и нацеленностью на широкий спектр системных архитектур, включая x86, ARM и MIPS.
«Хотя использование сложных методов дешифрования не является чем-то новым, это говорит о развитии тактики, техники и процедур среди операторов ботнетов на базе Mirai», - комментируют в Akamai.
«Это особенно примечательно, поскольку многие ботнеты на базе Mirai все еще зависят от оригинальной логики обфускации строк из переработанного кода, который был включен в исходный код вредоносного ПО Mirai», - говорят исследователи.
Исследователи отмечают, что ботнет также использует CVE-2018-17532, уязвимость в маршрутизаторах Teltonika RUT9XX, а также CVE-2023-1389, которая затрагивает устройства TP-Link.
Индикаторы компрометации (IoC), связанные с кампанией, доступны в конце отчета Akamai, а также правила Yara для обнаружения и блокирования угрозы.
Федеральный судья США постановил, что израильский производитель шпионского ПО NSO Group нарушил американские законы о взломе, используя «нулевые дни» WhatsApp для установки шпионского ПО Pegasus на не менее чем 1400 устройств.
Новое исследование, проведенное компанией Green Raven Limited, специализирующейся на консультировании и посредничестве в области кибербезопасности, выявило растущее чувство профессионального отчаяния и беспомощности среди многих старших специалистов по кибербезопасности в крупнейших организациях Великобритании.
Компания Phreesia, занимающаяся разработкой программного обеспечения как услуги (SaaS) в сфере здравоохранения, уведомляет более 910 000 человек о том, что их личные и медицинские данные были раскрыты в результате майского взлома ее дочерней компании ConnectOnCall, приобретенной в октябре 2023 года.