Biến thể Botnet Mirai khai thác lỗ hổng bộ định tuyến Four-Faith cho các cuộc tấn công DDoS
Một biến thể botnet Mirai đã được phát hiện đang khai thác lỗ hổng bảo mật mới được tiết lộ ảnh hưởng đến các bộ định tuyến công nghiệp Four-Faith kể từ đầu tháng 11 năm 2024 với mục tiêu thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS).
Mạng botnet này duy trì khoảng 15.000 địa chỉ IP hoạt động hàng ngày, với các vụ lây nhiễm chủ yếu rải rác ở Trung Quốc, Iran, Nga, Thổ Nhĩ Kỳ và Hoa Kỳ.
Phần mềm độc hại này được cho là đã hoạt động từ tháng 2 năm 2024, khai thác hơn 20 lỗ hổng bảo mật đã biết và thông tin đăng nhập Telnet yếu để truy cập ban đầu. Botnet này được đặt tên là "gayfemboy" theo thuật ngữ xúc phạm có trong mã nguồn.
QiAnXin XLab cho biết họ đã quan sát thấy phần mềm độc hại lợi dụng lỗ hổng zero-day trong bộ định tuyến công nghiệp do Four-Faith có trụ sở tại Trung Quốc sản xuất để phát tán các hiện vật sớm nhất là vào ngày 9 tháng 11 năm 2024.
Lỗ hổng bảo mật đang được đề cập là CVE-2024-12856 (điểm CVSS: 7.2), liên quan đến lỗi tiêm lệnh hệ điều hành (OS) ảnh hưởng đến các mẫu bộ định tuyến F3x24 và F3x36 bằng cách lợi dụng thông tin đăng nhập mặc định không thay đổi.
Vào cuối tháng trước, VulnCheck đã nói với The Hacker News rằng lỗ hổng bảo mật này đã bị khai thác trong thực tế để thả các shell ngược và phần mềm độc hại giống Mirai vào các thiết bị bị xâm phạm.
Một số lỗ hổng bảo mật khác bị botnet khai thác để mở rộng phạm vi và quy mô bao gồm CVE-2013-3307, CVE-2013-7471, CVE-2014-8361, CVE-2016-20016, CVE-2017-17215, CVE-2017-5259, CVE-2020-25499, CVE-2020-9054, CVE-2021-35394, CVE-2023-26801, CVE-2024-8956 và CVE-2024-8957.
Sau khi khởi chạy, phần mềm độc hại sẽ cố gắng ẩn các tiến trình độc hại và triển khai định dạng lệnh dựa trên Mirai để quét các thiết bị dễ bị tấn công, tự cập nhật và phát động các cuộc tấn công DDoS vào các mục tiêu quan tâm.
Các cuộc tấn công DDoS tận dụng mạng botnet đã nhắm vào hàng trăm thực thể khác nhau mỗi ngày, với hoạt động đạt đỉnh mới vào tháng 10 và tháng 11 năm 2024. Các cuộc tấn công này kéo dài từ 10 đến 30 giây, tạo ra lưu lượng truy cập khoảng 100 Gbps.
Việc tiết lộ này diễn ra vài tuần sau khi Juniper Networks cảnh báo rằng các sản phẩm Session Smart Router (SSR) có mật khẩu mặc định đang bị các tác nhân độc hại nhắm tới để thả phần mềm độc hại botnet Mirai. Akamai cũng đã tiết lộ các vụ nhiễm phần mềm độc hại Mirai lợi dụng lỗ hổng thực thi mã từ xa trong DigiEver DVR.
"DDoS đã trở thành một trong những hình thức tấn công mạng phổ biến và mang tính phá hoại nhất", các nhà nghiên cứu XLab cho biết. "Các chế độ tấn công của nó rất đa dạng, các đường tấn công được che giấu rất kỹ và nó có thể sử dụng các chiến lược và kỹ thuật liên tục phát triển để thực hiện các cuộc tấn công chính xác vào nhiều ngành công nghiệp và hệ thống khác nhau, gây ra mối đe dọa đáng kể cho các doanh nghiệp, tổ chức chính phủ và người dùng cá nhân".
Sự phát triển này cũng diễn ra khi các tác nhân đe dọa đang lợi dụng các máy chủ PHP dễ bị tấn công và có cấu hình sai (ví dụ: CVE-2024-4577 ) để triển khai trình khai thác tiền điện tử có tên là PacketCrypt.