Mirai-Botnet-Ableger lösen weltweite Welle von DDoS-Angriffen aus

Zwei Mirai-Botnet -Ableger haben weltweit aggressive Distributed-Denial-of-Service-Kampagnen (DDoS) gestartet, die Schwachstellen in IoT-Geräten (Internet of Things) ausnutzen und schwache Anmeldeinformationen ausnutzen. Die Kampagnen unterstreichen die anhaltende Bedrohung durch Mirai-basierte Malware, die auch fast ein Jahrzehnt nach ihrem berüchtigten Debüt noch immer eine mächtige Cyberwaffe ist.

Die Entwicklung von Mirai: Eine anhaltende Bedrohung für die IoT-Sicherheit

Das Mirai-Botnetz ist seit langem ein Symbol für die Schwachstellen von IoT-Geräten. Seit der Quellcode 2016 geleakt wurde, hat Mirai unzählige Varianten inspiriert, die alle auf den verheerenden Fähigkeiten der ursprünglichen Malware aufbauen. In letzter Zeit sind zwei unterschiedliche Kampagnen aufgetaucht, die auf Mirai basierende Malware nutzen, um IoT-Geräte zu kompromittieren und globale DDoS-Angriffe zu starten.

Kampagne 1: Das Murdoc-Botnetz

Eine der aktiven Kampagnen, das sogenannte Murdoc-Botnet, verbreitet Mirai-Malware, um bestimmte Schwachstellen in IoT-Geräten wie Avtech-Kameras und Huawei HG532-Routern auszunutzen. Laut Forschern von Qualys nutzt das Botnet bekannte Exploits, darunter:

• CVE-2024-7029 : Eine Schwachstelle zur Umgehung der Authentifizierung in Avtech-Kameras, die es Angreifern ermöglicht, Befehle aus der Ferne einzuschleusen.
• CVE-2017-17215 : Ein Remote Code Execution (RCE)-Fehler in Huawei-Routern.

Das Murdoc-Botnetz nahm im Juli 2024 seinen Betrieb auf und hat seitdem über 1.300 IPs kompromittiert, hauptsächlich in Malaysia, Thailand, Mexiko und Indonesien. Forscher entdeckten über 100 verschiedene Server-Sets, die mit dem Botnetz verbunden waren. Jeder Server-Set war mit der Verwaltung infizierter Geräte und der Koordinierung weiterer Angriffe beauftragt.

Die Malware infiltriert Geräte über ELF- und Shell-Skriptdateien, die dann zur Installation von Mirai-Malware-Varianten verwendet werden. Diese infizierten Geräte werden als Waffe eingesetzt, um an umfangreichen DDoS-Angriffen teilzunehmen und so ein gewaltiges globales Botnet-Netzwerk aufzubauen.

Kampagne 2: Hybride Malware zielt auf globale Organisationen ab

Eine zweite Kampagne, die Malware von Mirai und Bashlite nutzt, zielte auf Organisationen in Nordamerika, Europa und Asien. Die Forscher von Trend Micro identifizierten groß angelegte DDoS-Angriffe, die zunächst japanische Unternehmen und Banken betrafen, bevor sie sich weltweit ausbreiteten.

Angriffsvektoren und Zielgeräte

Die Angreifer konzentrierten sich darauf, Sicherheitslücken und schwache Anmeldeinformationen in weit verbreiteten IoT-Geräten auszunutzen, wie zum Beispiel:

• TP-Link-Router
• Zyxel-Router
• Hikvision IP-Kameras

Die Malware nutzte Schwachstellen bei der Remote-Code-Ausführung und schwache Passwörter aus, um sich Zugriff zu verschaffen, und lud dann Skripte herunter, um die Geräte zu kompromittieren. Bei dieser globalen Operation kamen zwei Haupttypen von DDoS-Angriffen zum Einsatz:

1. Angriffe durch Netzwerküberlastung : Überflutung von Netzwerken mit riesigen Datenpaketen, um die Bandbreite zu überlasten.
2. Angriffe zur Erschöpfung der Ressourcen : Erstellen zahlreicher Sitzungen, um die Serverressourcen zu erschöpfen.

In einigen Fällen kombinierten Angreifer beide Methoden, um den Schaden zu maximieren, und verursachten so erhebliche Störungen in den betroffenen Regionen.

Abwehrmaßnahmen: Abschwächung der Auswirkungen von Mirai-Botnetzen

Das Wiederaufleben Mirai-basierter Kampagnen macht deutlich, dass Unternehmen ihre Abwehrmaßnahmen gegen DDoS-Angriffe verstärken müssen. Forscher von Qualys und Trend Micro haben wichtige Empfehlungen zur Bekämpfung dieser Bedrohungen herausgegeben.

Allgemeine Best Practices

1. Auf verdächtige Aktivitäten achten : Verfolgen Sie regelmäßig Prozesse, Ereignisse und Netzwerkverkehr auf Anzeichen einer Kompromittierung.
2. Vermeiden Sie nicht vertrauenswürdige Quellen : Führen Sie keine Shell-Skripte oder Binärdateien unbekannter Herkunft aus.
3. IoT-Geräte härten : Stellen Sie sicher, dass die Geräte mit der neuesten Firmware aktualisiert sind und über sichere, eindeutige Passwörter verfügen.

Abwehr von Netzwerküberlastungsangriffen

• Verwenden Sie Firewalls oder Router, um bösartige IP-Adressen zu blockieren und unerwünschten Datenverkehr einzuschränken.
• Arbeiten Sie mit Internetdienstanbietern zusammen, um DDoS-Verkehr am Netzwerkrand zu filtern.
• Aktualisieren Sie die Router-Hardware, um höhere Paketmengen verarbeiten zu können.

Abwehr von Angriffen durch Ressourcenerschöpfung

• Implementieren Sie eine Ratenbegrenzung, um die Anzahl der Anfragen von bestimmten IP-Adressen zu begrenzen.
• Verwenden Sie DDoS-Schutzdienste von Drittanbietern, um bösartigen Datenverkehr zu filtern.
• Überwachen Sie Verbindungen kontinuierlich in Echtzeit und blockieren Sie IPs mit übermäßiger Aktivität.

Das beständige Erbe von Mirai

Diese jüngsten Mirai-Botnet-Kampagnen sind eine deutliche Erinnerung an die Risiken, die von ungeschützten IoT-Geräten ausgehen. Da Angreifer ihre Taktiken immer weiter verfeinern und IoT-Schwachstellen ausnutzen, müssen Unternehmen wachsam und proaktiv bleiben und darauf vorbereitet sein, die Risiken von DDoS-Angriffen zu mindern. Durch die Einführung robuster Sicherheitsmaßnahmen und die Förderung der Zusammenarbeit zwischen den Beteiligten an der Cybersicherheit können wir die Auswirkungen dieser anhaltenden Bedrohungen verringern.