IZ1H9, D-Link, Zyxel, TP-Link, Totolink ve diğerlerinden Linux tabanlı yönlendiricileri ve yönlendiricileri hedeflemek için on üç yeni yük eklemiş olarak Mirai tabanlı bir DDOS (dağıtılmış hizmet reddi) kötü amaçlı yazılım botnet izlendi.
Fortinet araştırmacıları, Eylül ayının ilk haftası boyunca sömürü oranlarında zirveye çıktığını ve savunmasız cihazlara karşı on binlerce sömürü girişimine ulaştığını bildiriyor.
IZ1H9, cihazları DDOS sürüsüne dahil etmek için tehlikeye atar ve daha sonra muhtemelen ateş gücünü kiralayan müşterilerin sırasına göre, belirtilen hedeflere DDOS saldırılarını başlatır.
Bir DDOS kötü amaçlı yazılımının hedeflediği daha fazla cihaz ve güvenlik açıkları, web sitelerine karşı büyük darbeler sağlayabilen büyük ve güçlü bir botnet oluşturma potansiyelini artırdı.
IZ1H9 durumunda Fortinet, 2015'ten 2023'e tarihlenen aşağıdaki kusurlar için istismar kullandığını bildirdi:
Kampanya ayrıca, PRC2402M yönlendiricisini potansiyel olarak etkileyen “/cgi-bin/login.cgi” rotası ile ilgili belirtilmemiş bir CVE'yi hedefliyor.
Yukarıda belirtilen CVES'lerden birini kullandıktan sonra, aygıt içine, belirli bir URL'den “L.SH” adlı bir kabuk komut dosyası indiricisi almak için bir komut içeren bir IZ1H9 yükü enjekte edilir.
Yürütme üzerine komut dosyası, kötü niyetli etkinliği gizlemek için günlükleri siler ve daha sonra, farklı sistem mimarileri için tasarlanmış bot istemcilerini alır.
Son olarak, komut dosyası, belirli bağlantı noktalarındaki bağlantıyı engellemek için cihazın IPTable kurallarını değiştirir ve kötü amaçlı yazılımları cihazdan kaldırmayı zorlaştırır.
Yukarıdakilerin tümünü yaptıktan sonra, Bot C2 (Komut ve Kontrol) sunucusu ile iletişim kurar ve komutların yürütülmesini bekler.
Desteklenen komutlar, UDP, UDP düz, HTTP Sel ve TCP SYN de dahil olmak üzere başlatılacak DDOS saldırısının türü ile ilgilidir.
Fortinet ayrıca IZ1H9'un kaba kuvvet saldırıları için kullanılan sert kodlanmış kimlik bilgilerine sahip bir veri bölümü bulunduğunu bildiriyor.
Bu saldırılar, bitişik cihazlara yayılma veya çalışma istismarına sahip olmadığı IOT'lara kimlik doğrulaması için yararlı olabilir.
IoT cihazlarının sahiplerinin güçlü yönetici kullanıcı kimlik bilgilerini kullanmaları, bunları mevcut en son ürün yazılımı sürümüne güncellemeleri ve mümkünse genel İnternet'e maruz kalmalarını azaltmaları önerilir.
Mirai Varyant, DDOS saldırıları için düşük maliyetli Android TV kutularını enfekte eder
EOL Zyxel yönlendiricide Gafgyt kötü amaçlı yazılımdan yararlanıyor
Qakbot Botnet 700.000'den fazla bilgisayarı bulaştıktan sonra söküldü
P2Pinfect Botnet Etkinliği Daha Sık Yazılım Varyantları ile 600x Surves
İran Apt33, ABD Cybercom Sorunları Uyarısı tarafından sömürülen görünüm kusuru
Kaynak: Bleeping Computer