Botnet FICORA và Kaiten khai thác lỗ hổng cũ của D-Link để tấn công toàn cầu
Các nhà nghiên cứu an ninh mạng đang cảnh báo về sự gia tăng các hoạt động độc hại liên quan đến việc kết nối các bộ định tuyến D-Link dễ bị tấn công vào hai mạng botnet khác nhau, một biến thể Mirai có tên là FICORA và một biến thể Kaiten (hay còn gọi là Tsunami) có tên là CAPSAICIN.
Nhà nghiên cứu Vincent Li của Fortinet FortiGuard Labs cho biết trong một bài phân tích hôm thứ Năm: "Các mạng botnet này thường lây lan qua các lỗ hổng D-Link đã được ghi nhận, cho phép kẻ tấn công từ xa thực thi các lệnh độc hại thông qua hành động GetDeviceSettings trên giao diện HNAP (Giao thức quản trị mạng gia đình)".
"Điểm yếu HNAP này lần đầu tiên được phát hiện cách đây gần một thập kỷ, với nhiều thiết bị bị ảnh hưởng bởi nhiều số CVE khác nhau, bao gồm CVE-2015-2051 , CVE-2019-10891 , CVE-2022-37056 và CVE-2024-33112 ."
Theo dữ liệu đo từ xa của công ty an ninh mạng, các cuộc tấn công liên quan đến FICORA đã nhắm vào nhiều quốc gia trên toàn cầu, trong khi các cuộc tấn công liên quan đến CAPSAICIN chủ yếu nhắm vào các vùng lãnh thổ Đông Á như Nhật Bản và Đài Loan. Hoạt động của CAPSAICIN cũng được cho là chỉ "hoạt động" mạnh mẽ trong khoảng thời gian từ ngày 21 đến ngày 22 tháng 10 năm 2024.
Các cuộc tấn công botnet FICORA dẫn đến việc triển khai một tập lệnh shell tải xuống ("multi") từ một máy chủ từ xa ("103.149.87\[.\]69"), sau đó tiến hành tải xuống phần tải trọng chính cho các kiến trúc Linux khác nhau một cách riêng biệt bằng các lệnh wget, ftpget, curl và tftp.
Có trong phần mềm độc hại botnet là chức năng tấn công brute-force chứa danh sách tên người dùng và mật khẩu được mã hóa cứng. Mirai phái sinh cũng tích hợp các tính năng để thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS) bằng giao thức UDP, TCP và DNS.
Tập lệnh tải xuống ("bins.sh") cho CAPSAICIN sử dụng địa chỉ IP khác ("87.10.220\[.\]221") và áp dụng cùng một cách tiếp cận để lấy botnet cho nhiều kiến trúc Linux khác nhau nhằm đảm bảo khả năng tương thích tối đa.
"Phần mềm độc hại này sẽ tiêu diệt các tiến trình botnet đã biết để đảm bảo rằng nó là botnet duy nhất đang thực thi trên máy chủ nạn nhân", Li cho biết. "'CAPSAICIN' thiết lập một ổ cắm kết nối với máy chủ C2 của nó, '192.110.247\[.\]46,' và gửi thông tin hệ điều hành của máy chủ nạn nhân và biệt danh do phần mềm độc hại cung cấp trở lại máy chủ C2".
CAPSAICIN sau đó chờ các lệnh tiếp theo được thực thi trên các thiết bị bị xâm phạm, bao gồm "PRIVMSG", một lệnh có thể được sử dụng để thực hiện nhiều hoạt động độc hại khác nhau như sau -
- GETIP - Get the IP address from an interface
- CLEARHISTORY - Remove command history
- FASTFLUX - Start a proxy to a port on another IP to an interface
- RNDNICK - Randomize the victim hosts' nickname
- NICK - Change the nickname of the victim host
- SERVER - Change command-and-control server
- ENABLE - Enable the bot
- KILL - Kill the session
- GET - Download a file
- VERSION - Requests version of the victim host
- IRC - Forward a message to the server
- SH - Execute shell commands
- ISH - Interact with victim host's shell
- SHD - Execute shell command and ignore signals
- INSTALL - Download and install a binary to "/var/bin"
- BASH - Execute commands using bash
- BINUPDATE - Update a binary to "/var/bin" via get
- LOCKUP - Kill Telnet backdoor and execute the malware instead
- HELP - Display help information about the malware
- STD - Flooding attack with random hard-coded strings for the port number and target specified by the attacker
- UNKNOWN - UDP flooding attack with random characters for the port number and target specified by the attacker
- HTTP - HTTP flooding attack.
- HOLD - TCP connection flooding attack.
- JUNK - TCP flooding attack.
- BLACKNURSE - BlackNurse attack, which is based on the ICMP packet flooding attack
- DNS - DNS amplification flooding attack
- KILLALL - Stop all DDoS attacks
- KILLMYEYEPEEUSINGHOIC - Terminate the original malware
"Mặc dù các điểm yếu bị khai thác trong cuộc tấn công này đã bị phát hiện và vá lỗi gần một thập kỷ trước, nhưng các cuộc tấn công này vẫn liên tục diễn ra trên toàn thế giới", Li cho biết. "Điều quan trọng là mọi doanh nghiệp phải thường xuyên cập nhật kernel của thiết bị và duy trì giám sát toàn diện".