Lo que parece ser el más grande hasta el momento botnet - Mirai ha creado una nueva amenaza, esta vez por la compañía alemana, Telekom alemán. La botnet ha logrado acceder al panel de administración de la mayoría de los routers de banda ancha, afectar el rendimiento de más de 900,000 clientes.
La oficina BSI (Oficina Federal Alemana para la Seguridad de la Información) ha llegado con una declaración con respecto a este ataque cibernético masivo y automatizado, detectado durante la última semana de noviembre, 2016.
Del informe también podemos entender que puede haber habido una versión modificada de la gusano Mirai, que fue lanzado abierta al público, resultando en estragos masiva. Esta variante modificada ha comenzado a causar infecciones y ataques en varias cámaras de CCTV, así como dispositivos IO de diferentes tipos.
¿Qué tiene esto Mirai variante Do?
Se estimó que Mirai ha utilizado la interfaz de mantenimiento en los módems alemán, más específicamente el malware ataca puerto 7547.
Esto permitió Mirai para ganar incluso el acceso administrativo a los routers, lo que le da el poder para llevar a cabo cualquier cosa que se puede modificar desde el panel de administración del router .
Tan pronto como se tiene control sobre los routers y otros dispositivos IO los ataques de gusanos, que están “fuera del negocio” temporalmente.
¿Por qué Mirai éxito infectar las Dispositivos
Según el investigador Darren Martyn, que se puso en contacto con The Register, había varias cuestiones que eran oportunidades para el gusano cuando se trataba de los usuarios que infectan.
La primera complicación deriva de una de las interfaces de los dispositivos, llamado “TR-064". Esta interfaz se accede a través de su puerto WAN que está interconectado con el internet y el dispositivo se puede gestionar de forma remota a través de este puerto sin ningún tipo de solicitudes de autenticación en absoluto.
Pero esto no es todo, otra interfaz “TR-069" También tiene el problema de permitir el puerto TCP / IP 7547, Mirai, que fue configurado para aprovechar. Pero dado que la 069 TR interfaz es básicamente un protocolo de gestión de red WAN que no se utiliza para nada. El hecho es que la mayoría de los ISP suelen utilizar este mismo protocolo con el fin de gestionar sus propias redes de distancia y de esta solucionar los problemas más rápido. Pero la situación es que esta interfaz también está conectado a un servidor que tiene TR-064(el primer número) compatibilidad. Esto significa que si un servidor es atacado en TR-064, que puede aceptar esos comandos vía 7547 sin ninguna configuración adicional o la autenticación entre las dos interfaces.
Otra cuestión según el investigador es que el router tenía otra vulnerabilidad que a su vez está en TR-064 interfaz y permite a la red de bots para inyectar secuencias de comandos con el comando y por lo tanto hacen que el dispositivo temporal inútil.
Y esto 069/064 cuestión no es algo que está presente en uno o dos dispositivos, así. Martin afirma que también descubrió más de 40 dispositivos, incluyendo Digicom, aztech, D-Link y otros grandes nombres sean vulnerables a este exploit, así.
Siendo este el caso, ahora es muy claro por qué el virus se extendió tanto y esto plantea la “barra de nivel de peligro” de los ataques aún más Mirai. Tenga en cuenta que las víctimas de este malware no sólo pueden ser usuarios de Alemania y dada la velocidad a la que se propaga esta variante, puede infectar a cualquier proveedor de Internet en el mundo a partir de este momento.
La destrucción de Mirai
Vamos a echar un vistazo a varios escenarios hipotéticos que puede suceder cuando se ha producido un ataque de Mirai. Si un atacante es el control de esta versión modificada, esto significa que puede cambiar la configuración cruciales, tales como la dirección DNS los dispositivos utilizan para conectarse, así como los ajustes que se le permita espiar información crucial de esos dispositivos. Y no sólo estamos hablando de robar una contraseña wi-fi y SSID aquí, esta información es enorme e incluso las contraseñas de usuario se puede obtener.
Pero esto no es todo, en términos de daños. El hacker detrás de esta botnet también puede gestionar los dispositivos y aquí estamos hablando de control de casi 1 millones de dispositivos a través de software de gestión de ACS normalmente disponible sólo para los ISP.
La cuestión ahora es fijo y espero que no se repetirá en el futuro y los expertos todavía están trabajando en ello. Mientras tanto todos los usuarios de la empresa de telecomunicaciones deben cambiar las credenciales importantes, tales como contraseñas de cuentas cruciales para aumentar la seguridad.
Tan pronto como el ataque masivo fue descubierto, la empresa responsable de los dispositivos, Deutsche Telekom ha parcheado los routers y ofrece acceso gratuito a través de sus dispositivos móviles, al menos hasta que lidiar con el ataque.
Ventsislav Krastev
Ventsislav es un experto en ciberseguridad en SensorsTechForum desde 2015. El ha estado investigando, cubierta, ayudando a las víctimas con las últimas infecciones de malware, además de probar y revisar software y los últimos desarrollos tecnológicos. Tener la comercialización graduado, así, Ventsislav también tiene pasión por aprender nuevos cambios e innovaciones en ciberseguridad que se conviertan en un cambio de juego.. Después de estudiar Value Chain Management, Administración de redes y administración de computadoras de aplicaciones del sistema, encontró su verdadero llamado dentro de la industria de la ciberseguridad y cree firmemente en la educación de cada usuario hacia la seguridad en línea.
Sígueme: