Botnät: En Cyberattackstrategi
En metod som ofta utnyttjas av cyberkriminella för att intensifiera sina attacker är användningen av botnät. Dessa nätverk, bestående av infekterade datorer, är fjärrstyrda av en angripare.
En bot-herde är den som kontrollerar dessa infekterade maskiner, medan enskilda infekterade enheter kallas för ”botar”. Med hjälp av botnät kan cyberattacker utföras i mycket större skala. Vanliga användningsområden inkluderar överbelastningsattacker, nätfiske, spamkampanjer och dataintrång.
Ett välkänt exempel är Mirai-botnätet, vars skadliga kod är känd för att ha kapat digitala enheter för att bygga upp ett omfattande botnät. Mirai utnyttjar sårbarheter i Internet of Things (IoT)-enheter som kör Linux.
När Mirai infekterar en IoT-enhet omvandlas den till en fjärrstyrd bot som kan ingå i ett botnät för att genomföra storskaliga cyberattacker. Mirai är skriven i programmeringsspråken C och GO.
Mirai fick stor uppmärksamhet 2016 när det användes i en omfattande DDOS-attack mot DYN, en leverantör av domännamnstjänster. Attacken resulterade i att många internetanvändare inte kunde komma åt populära webbplatser som Airbnb, Amazon, Twitter, Reddit, Paypal och Visa.
Mirai var också ansvarigt för DDOS-attacker mot cybersäkerhetsbloggen Krebs on Security och det franska molntjänstföretaget OVHCloud.
Hur Mirai skapades
Skaparna av Mirai, Paras Jha och Josiah White, var studenter i tidiga 20-årsåldern och grundare av ProTraf Solutions, ett företag som erbjöd DDOS-reducerande tjänster. Deras skadliga kod var skriven i C och Go.
Inledningsvis användes Mirai för att angripa konkurrerande Minecraft-servrar genom DDOS-attacker, i syfte att attrahera fler kunder genom att eliminera konkurrensen.
Senare utvecklades användningen till utpressning. De genomförde DDOS-attacker mot företag för att sedan erbjuda sina egna DDOS-reducerande tjänster.
Mirai-botnätet hamnade i myndigheternas och cybersäkerhetsgemenskapens fokus efter attackerna mot Krebs on Security och OVH. När Mirai började väcka uppmärksamhet läckte skaparna källkoden på ett hackingforum, troligen för att dölja sina spår och undvika ansvar för attackerna. Detta ledde till utvecklingen av varianter av Mirai, som Okiru, Masuta, Satori och PureMasuta, av andra cyberkriminella.
FBI lyckades senare gripa skaparna av Mirai. Istället för fängelse fick de mildare straff efter att ha samarbetat med FBI för att fånga andra cyberkriminella och förhindra cyberattacker.
Hur Mirai-botnätet fungerar
En attack med Mirai-botnätet sker i flera steg:
- Mirai skannar internet efter IP-adresser som tillhör IoT-enheter som kör Linux på Arc-processorer. Den riktar in sig på enheter som inte är lösenordsskyddade eller använder standarduppgifter.
- Mirai försöker sedan komma åt enheten genom att använda en rad vanliga standarduppgifter. Om enheten inte är lösenordsskyddad eller använder standardinställningar loggar Mirai in och infekterar enheten.
- Efter infektion söker Mirai efter annan skadlig programvara på enheten och tar bort den för att säkerställa att Mirai är den enda aktiva skadliga programvaran, vilket ger mer kontroll över enheten.
- Den infekterade enheten blir en del av Mirai-botnätet och kan fjärrstyras från en central server. Den väntar på kommandon för att utföra attacker.
- De infekterade enheterna används sedan för att infektera andra enheter eller för att utföra storskaliga DDOS-attacker mot webbplatser, servrar och andra onlineresurser.
Det är värt att notera att Mirai inte riktade in sig på eller infekterade vissa IP-intervall, inklusive privata nätverk samt IP-adresser som tilldelats det amerikanska försvarsdepartementet och det amerikanska postverket.
Enhetstyper som Mirai-botnätet riktar in sig på
De främsta målen för Mirai är IoT-enheter med ARC-processorer. Enligt Paras Jha var majoriteten av de infekterade enheterna routrar.
Men potentiella offer inkluderar även andra IoT-enheter med ARC-processorer, som smarta hemprodukter, säkerhetskameror, babymonitorer, termostater och smart-TV-apparater. Det kan också omfatta bärbara enheter som träningsspårare, klockor, medicinska enheter som glukosmätare och insulinpumpar, samt industriella IoT-enheter.
Hur man upptäcker en Mirai Botnet-infektion
Mirai-botnätet är utformat för att vara diskret, vilket gör det svårt att upptäcka en infektion. Det finns dock några tecken att hålla utkik efter:
- Långsam internetanslutning: Dina IoT-enheter används för att genomföra DDOS-attacker, vilket kan sakta ner din internetanslutning.
- Ovanlig nätverkstrafik: En plötslig ökning av trafiken eller förfrågningar till okända IP-adresser kan vara ett varningstecken.
- Minskad enhetsprestanda: Om din IoT-enhet beter sig ovanligt, som att stänga av eller starta om på egen hand, kan det tyda på en infektion.
- Ändringar i enhetskonfigurationer: Mirai kan ändra inställningarna på dina enheter för att underlätta framtida utnyttjande.
Även om det finns tecken att vara uppmärksam på, kan det vara svårt att upptäcka en infektion eftersom Mirai är utformat för att vara svårupptäckt. Därför är det viktigaste steget att förebygga att Mirai infekterar dina IoT-enheter.
Om du misstänker en infektion, koppla bort enheten från nätverket och anslut den igen först när hotet har eliminerats.
Hur du skyddar dina enheter från Mirai-botnätet
Mirai försöker infektera enheter genom att testa vanliga standardkonfigurationer. Därför är det viktigt att inte använda standardanvändarnamn och lösenord på dina IoT-enheter.
Se till att ändra dina inloggningsuppgifter och använd svåra lösenord. Använd en lösenordsgenerator för att skapa unika, oslagbara lösenord.
Uppdatera enheternas firmware regelbundet och installera säkerhetsuppdateringar så snart de släpps. Tillverkare brukar publicera korrigeringar när sårbarheter upptäcks, vilket kan hjälpa dig att ligga steget före angripare. Om du inte behöver fjärråtkomst bör du inaktivera den.
Andra säkerhetsåtgärder inkluderar regelbunden övervakning av nätverkstrafik och segmentering av hemnätverket så att dina IoT-enheter inte är anslutna till dina mest känsliga delar av nätverket.
Slutsats
Även om skaparna av Mirai-botnätet har gripits, kvarstår risken för infektion. Eftersom källkoden har blivit offentlig har det lett till uppkomsten av farliga varianter av Mirai, som har mer kontroll över infekterade enheter.
När du köper IoT-enheter, se till att säkerhetsfunktionerna är en prioritet. Välj enheter med säkerhetsfunktioner som kan förhindra infektion av skadlig programvara. Undvik standardkonfigurationer och uppdatera regelbundet enhetens firmware och installera de senaste säkerhetskorrigeringarna.
Du kan även undersöka EDR-verktyg för att snabbt upptäcka och agera mot cyberattacker.