Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
InfectedSlurs, uma botnet Mirai , vem explorando duas vulnerabilidades zero-day de execução remota de código (RCE). O malware tem como alvo roteadores e gravadores de vídeo (NVR), com o objetivo de incorporá-los ao seu enxame de ataques distribuídos de negação de serviço (DDoS). Embora a botnet tenha sido descoberta em outubro de 2023, acredita-se que suas atividades iniciais remontem ao segundo semestre de 2022. Neste blog, vamos nos aprofundar em como a botnet foi descoberta, como ela funciona e muito mais.
Detalhes sobre a detecção da botnet Mirai
A botnet foi descoberta quando a Equipe de Resposta à Inteligência de Segurança (SIRT) da Akamai detectou atividades maliciosas relacionadas aos honeypots da empresa. Até o momento, acredita-se que as atividades maliciosas tenham sido iniciadas para atingir uma porta TCP raramente utilizada. As equipes da SIRT observaram flutuações na frequência das explorações de dia zero.
Uma análise das vulnerabilidades de dia zero, publicada pela Akamai, afirma: “A atividade começou com um pequeno pico, atingindo 20 tentativas por dia, e depois diminuiu para uma média de duas a três por dia, com alguns dias sem nenhuma tentativa.” Vale ressaltar que os dispositivos vulneráveis que foram vítimas da botnet permaneceram desconhecidos até 9 de novembro de 2023.
Inicialmente, as tentativas de acesso eram de baixa frequência e buscavam a autenticação por meio de uma solicitação POST. Após obter o acesso, a botnet tentou uma exploração por injeção de comando. Os pesquisadores também constataram que a botnet utilizava credenciais de administrador padrão para instalar variantes do Mirai.
Após uma análise mais aprofundada, constatou-se que os roteadores de LAN sem fio, projetados para hotéis e uso residencial, também estavam sendo alvo da botnet Mirai. Ao comentar sobre a vulnerabilidade de RCE (Execução Remota de Código) que estava sendo explorada para acesso não autorizado, a Akamai declarou: “A SIRT realizou uma verificação rápida em busca de CVEs conhecidos por afetarem os dispositivos NVR desse fornecedor e ficou surpresa ao descobrir que estávamos diante de uma nova exploração de dia zero sendo ativamente utilizada na rede.”
InfectedSlurs, JenX e hailBot
Suspeita-se que a botnet InfectedSlurs tenha sido estejar interligada a outras ameaças à segurança cibernética , como o JenX e o hailBot. O nome da botnet deriva do uso de linguagem racista e ofensiva nos servidores de comando e controle (C2) e nas sequências de caracteres. Até o momento, os pesquisadores acreditam que essa botnet seja uma variante do malware JenX Mira, que surgiu em 2018.
Embora a botnet utilize principalmente a variante JenX, algumas amostras pareciam estar ligadas também à variante hailBot. Aqueles que pretendem implementar medidas de segurança de rede relacionadas a essa vulnerabilidade devem saber que o nome do arquivo do JenX é “jxkl” e que o nome de arquivo presumido para o hailBot conteria “skid”.
Outro identificador exclusivo do hailBot é a string de console “hail china mainland” , que se torna evidente durante a execução. Isso foi observado em uma amostra proveniente do servidor C2 “5.181.80[.]120” e que fazia referência ao nome de domínio “husd8uasd9[.]online.”
Outras menções a uma infraestrutura C2 também foram descobertas em contas excluídas do Telegram, em um mercado de ataques DDoS chamado “DStatCC”. Além disso, os ataques da botnet Mirai original e daquela utilizada em outubro parecem bastante semelhantes, pois utilizam as mesmas funções e têm como alvo os mesmos locais de memória.
Estratégias de mitigação de ataques cibernéticos
Antes de discutirmos a prevenção de vulnerabilidades em botnets, saiba que a equipe SIRT está trabalhando com diversas agências de segurança cibernética para notificar os fornecedores afetados pela botnet. Os detalhes sobre os fornecedores não foram divulgados, pois isso poderia aumentar o número de explorações.
Segurança da Internet das Coisas (IoT) As medidas para a prevenção desses ataques variam entre infecções pelo InfectedSlur e ataques DDoS.
- Para infecções pelo InfectedSlur:
- Verifique e substitua as credenciais padrão.
- Isolar os dispositivos vulneráveis e investigar se houve violação de segurança.
- Para Prevenção de ataques DDoS:
- Implementar as recomendações da CISA.
- Analise sub-redes e espaços de IP.
- Desenvolver controles de segurança contra ataques DDoS.
- Teste e elimine as possibilidades de movimentos laterais.
Conclusão
A botnet InfectedSlur está explorando duas vulnerabilidades desconhecidas de execução remota de código (RCE) para atacar dispositivos NVR. Embora o malware tenha sido descoberto recentemente, suas atividades remontam a 2022. A botnet está ligada a variantes anteriores, como o JenX e o hailBot. Até o momento, ainda não foram implementadas correções; no entanto, a adoção de medidas proativas de segurança cibernética pode ajudar a melhorar a postura de segurança e proteger contra agentes mal-intencionados.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Bleeping Computer.
