Ботнет Satori возрождается: Почему непропатченные роутеры топливают новую DDoS-угрозу

Ботнет Satori, возрождение инфмального Mirai, начал инфицировать новые эндпоинты с أواخر декабря, сигнализируя о надвигающейся DDoS-угрозе. Понимание его механики критично для защиты вашей сети.

Спящий ботнет просыпается

Mirai, оригинальное воплощение Satori, потряс американский интернет в 2016 году, захватив миллионы IoT-устройств — роутеров, камер безопасности, умных термостатов — чтобы разбить волоконный бэкбон вдоль восточного побережья. Хотя Satori не Mirai, он делит ту же цель: массовая эксплуатация устройств для крупномасштабных атак.

В отличие от Mirai, который требовал отдельной загрузки перед активацией, Satori распространяется автономно как червь. Инфицированные хосты сканируют открытые порты на роутерах и других IoT-устройствах, охотясь за специфическими уязвимостями. На сегодня подтверждены три семейства устройств как уязвимые:

• Роутеры Huawei Home Gateway могут содержать непропатченную уязвимость удаленного выполнения кода. Публичного фикса не существует.
• Роутеры Realtek имеют похожую слабость, но многие модели были пропатчены, сокращая поверхность атаки.
• DASAN Networks, южнокорейский производитель примерно 40 000 роутеров, кажется полностью уязвимым. Компания еще не ответила исследователям или выпустила патч.

Операторы этих устройств должны изолировать, пропатчить или заменить их немедленно для предотвращения эксплуатации.

Помимо DDoS, операторы Satori монетизировали ботнет через криптоджекинг. Нацеливаясь на ПО для майнинга криптовалюты — конкретно Claymore — Satori перезаписывал адреса кошельков, перенаправляя заминированные монеты на счета атакующего. Ботнет уже откачал более $2000 стоимости Ethereum.

Многоцелевой ботнет?

Двойное использование Satori для DDoS и крипто-майнинга предполагает более широкую модель угрозы. Недавние атаки видели вредоносное адвайр, захватывающее CPU посетителей для майнинга Bitcoin, и группу, инфильтровавшую публичное облако Tesla через незащищенную Kubernetes-консоль. Пока обработка одного роутера минимальна, сеть из десятков тысяч может генерировать существенную недозволенную криптовалюту и срывать сервисы.

Как следить за криптоджекингом и DDoS-атаками

Раннее обнаружение компромисса IoT или надвигающейся DDoS-атаки необходимо. Традиционные слепые зоны сети могут оставить вас уязвимым. AppNeta предлагает реальное-время видимость в паттерны трафика, помогая вам выявлять аномальные замедления, которые могут указывать на криптоджекинг или скоординированную атаку.

И криптоджекинг, и DDoS деградируют производительность, снижая продуктивность и вредя клиентскому опыту. Для превентивной защиты от этих угроз, запланируйте бесплатную демо с AppNeta сегодня.