13.000 bộ định tuyến MikroTik bị Botnet tấn công để phát tán Malspam và tấn công mạng
Một mạng lưới toàn cầu gồm khoảng 13.000 bộ định tuyến Mikrotik bị chiếm quyền điều khiển đã được sử dụng làm mạng botnet để phát tán phần mềm độc hại thông qua các chiến dịch thư rác, đây là thành viên mới nhất trong danh sách các mạng botnet do các thiết bị MikroTik cung cấp.
Hoạt động này "tận dụng các bản ghi DNS được cấu hình sai để vượt qua các kỹ thuật bảo vệ email", nhà nghiên cứu bảo mật của Infoblox, David Brunsdon cho biết trong một báo cáo kỹ thuật được công bố vào tuần trước. "Mạng botnet này sử dụng mạng lưới toàn cầu các bộ định tuyến Mikrotik để gửi các email độc hại được thiết kế để có vẻ như đến từ các tên miền hợp pháp".
Công ty bảo mật DNS, có tên mã là Mikro Typo , cho biết phân tích của họ xuất phát từ việc phát hiện ra một chiến dịch thư rác độc hại vào cuối tháng 11 năm 2024, sử dụng các chiêu trò liên quan đến hóa đơn vận chuyển để dụ người nhận khởi chạy tệp tin ZIP.
Tệp ZIP chứa tệp JavaScript được tối giản hóa, sau đó chịu trách nhiệm chạy tập lệnh PowerShell được thiết kế để khởi tạo kết nối đi đến máy chủ chỉ huy và điều khiển (C2) nằm tại địa chỉ IP 62.133.60\[.\]137.
Hiện vẫn chưa rõ vectơ truy cập ban đầu chính xác được sử dụng để xâm nhập vào bộ định tuyến, nhưng nhiều phiên bản chương trình cơ sở đã bị ảnh hưởng, bao gồm cả những phiên bản dễ bị tấn công bởi CVE-2023-30799 , một sự cố leo thang đặc quyền nghiêm trọng có thể bị lạm dụng để thực thi mã tùy ý.
Brunsdon cho biết: "Bất kể chúng bị xâm phạm theo cách nào, có vẻ như kẻ tấn công đã đặt một tập lệnh vào các thiết bị \[Mikrotik\] để kích hoạt SOCKS (Ổ cắm bảo mật), cho phép các thiết bị hoạt động như bộ chuyển hướng TCP".
"Việc kích hoạt SOCKS sẽ biến mỗi thiết bị thành một proxy, che giấu nguồn gốc thực sự của lưu lượng truy cập độc hại và khiến việc truy tìm nguồn gốc trở nên khó khăn hơn."
Điều đáng lo ngại hơn là việc thiếu xác thực cần thiết để sử dụng các proxy này, do đó cho phép các tác nhân đe dọa khác lợi dụng các thiết bị cụ thể hoặc toàn bộ mạng botnet cho mục đích xấu, từ các cuộc tấn công từ chối dịch vụ phân tán (DDoS) đến các chiến dịch lừa đảo.
Chiến dịch thư rác độc hại nói trên được phát hiện khai thác lỗi cấu hình trong bản ghi TXT của khuôn khổ chính sách người gửi ( SPF ) của 20.000 tên miền, giúp kẻ tấn công có thể gửi email thay mặt cho các tên miền đó và bỏ qua nhiều biện pháp bảo vệ email.
Cụ thể, người ta phát hiện ra rằng các bản ghi SPF được cấu hình với tùy chọn "+all" cực kỳ dễ dãi, về cơ bản là phá vỡ mục đích bảo vệ ngay từ đầu. Điều này cũng có nghĩa là bất kỳ thiết bị nào, chẳng hạn như bộ định tuyến MikroTik bị xâm phạm, đều có thể giả mạo tên miền hợp pháp trong email.
Người dùng thiết bị MikroTik được khuyến cáo nên cập nhật bộ định tuyến của mình và thay đổi thông tin đăng nhập tài khoản mặc định để ngăn chặn mọi nỗ lực khai thác.
"Với rất nhiều thiết bị MikroTik bị xâm phạm, botnet có khả năng khởi chạy nhiều hoạt động độc hại, từ các cuộc tấn công DDoS đến các chiến dịch đánh cắp dữ liệu và lừa đảo", Brunsdon cho biết. "Việc sử dụng proxy SOCKS4 làm phức tạp thêm các nỗ lực phát hiện và giảm thiểu, làm nổi bật nhu cầu về các biện pháp bảo mật mạnh mẽ".