Biến thể Mirai Murdoc Botnet khai thác Camera IP AVTECH và Bộ định tuyến Huawei
Các nhà nghiên cứu an ninh mạng đã cảnh báo về một chiến dịch quy mô lớn mới khai thác lỗ hổng bảo mật trong camera IP AVTECH và bộ định tuyến Huawei HG532 để kết nối các thiết bị vào biến thể botnet Mirai có tên gọi là Murdoc Botnet.
Nhà nghiên cứu bảo mật Shilpesh Trivedi của Qualys cho biết trong một bài phân tích rằng hoạt động đang diễn ra "thể hiện khả năng nâng cao, khai thác lỗ hổng để xâm nhập thiết bị và thiết lập mạng lưới botnet rộng lớn".
Chiến dịch này được biết là đã hoạt động ít nhất từ tháng 7 năm 2024, với hơn 1.370 hệ thống bị nhiễm cho đến nay. Phần lớn các vụ nhiễm nằm ở Malaysia, Mexico, Thái Lan, Indonesia và Việt Nam.
Bằng chứng cho thấy botnet lợi dụng các lỗ hổng bảo mật đã biết như CVE-2017-17215 và CVE-2024-7029 để truy cập ban đầu vào các thiết bị Internet vạn vật (IoT) và tải xuống phần tải trọng giai đoạn tiếp theo thông qua một tập lệnh shell.
Về phần mình, tập lệnh sẽ lấy phần mềm độc hại botnet và thực thi nó tùy thuộc vào kiến trúc CPU. Mục tiêu cuối cùng của các cuộc tấn công này là biến botnet thành vũ khí để thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS).
Sự phát triển này diễn ra vài tuần sau khi một biến thể botnet Mirai có tên gayfemboy được phát hiện đang khai thác lỗ hổng bảo mật mới được tiết lộ gần đây, ảnh hưởng đến các bộ định tuyến công nghiệp Four-Faith kể từ đầu tháng 11 năm 2024. Vào giữa năm 2024, Akamai cũng tiết lộ rằng CVE-2024-7029 đã bị những kẻ xấu lợi dụng để đưa các thiết bị AVTECH vào botnet.
Tuần trước, thông tin chi tiết về một chiến dịch tấn công DDoS quy mô lớn khác nhắm vào các tập đoàn và ngân hàng lớn của Nhật Bản kể từ cuối năm 2024 bằng cách sử dụng botnet IoT được hình thành bằng cách khai thác các lỗ hổng và thông tin xác thực yếu. Một số mục tiêu khác tập trung xung quanh Hoa Kỳ, Bahrain, Ba Lan, Tây Ban Nha, Israel và Nga.
Hoạt động DDoS được phát hiện nhắm vào các lĩnh vực viễn thông, công nghệ, lưu trữ, điện toán đám mây, ngân hàng, trò chơi và dịch vụ tài chính. Hơn 55% thiết bị bị xâm phạm nằm ở Ấn Độ, tiếp theo là Nam Phi, Brazil, Bangladesh và Kenya.
"Botnet bao gồm các biến thể phần mềm độc hại có nguồn gốc từ Mirai và BASHLITE ", Trend Micro cho biết . "Các lệnh của botnet bao gồm những lệnh có thể kết hợp nhiều phương pháp tấn công DDoS, cập nhật phần mềm độc hại và kích hoạt dịch vụ proxy".
Các cuộc tấn công liên quan đến việc xâm nhập vào các thiết bị IoT để triển khai phần mềm độc hại tải dữ liệu thực tế, sau đó kết nối với máy chủ chỉ huy và kiểm soát (C2) và chờ hướng dẫn tiếp theo để tấn công DDoS và các mục đích khác.
Để bảo vệ chống lại các cuộc tấn công như vậy, bạn nên theo dõi các quy trình, sự kiện và lưu lượng mạng đáng ngờ phát sinh do thực thi bất kỳ tệp nhị phân/tập lệnh nào không đáng tin cậy. Bạn cũng nên áp dụng các bản cập nhật chương trình cơ sở và thay đổi tên người dùng và mật khẩu mặc định.