Вредонос Mirai хорошо знаком каждому, кто следит за происходящим в сфере информационной безопасности. Еще в 2016 году малварь «прославилась» во время мощнейших DDoS-атак против DNS-провайдера Dyn и европейского провайдера OVH (тогда мощность атаки составила 1 Тб/сек). В том же году исходные коды Mirai были опубликованы в открытом доступе, что привело к появлению множества новых IoT-вредоносов, построенных на базе этих исходников (Wicked, Satori, Okiru, Masuta и так далее), а также огромного количества мощных IoT-ботнетов.
Mirai и его производные по-прежнему представляют большую опасность, хуже того, специалисты до сих пор находят новые, до- и переработанные версии малвари. Так, на этой неделе специалисты Palo Alto Networks обнаружили новую версию Mirai, которая оснащена сразу 27 эксплоитами, 11 из которых являются новыми для этого типа вредоносов.
Данная вариация Mirai все так же атакует устройства интернета вещей и сетевое оборудование через Telnet, и комплектуется встроенным списком учетных данных по умолчанию, по которому осуществляет перебор. Исследователи отмечают, что данный список пополнился новыми комбинациями.
Кроме того, в определенный момент хакеры перестали ограничиваться простым брутфорсом и добавили Mirai возможность использования эксплоитов. Новая версия вредоноса продолжает эту «традицию» и атакует даже такие девайсы, которые ранее не попадали под прицел злоумышленников. Дело в том, что обычно жертвами Mirai становятся модемы, роутеры, камеры видеонаблюдения, DVR и NVR системы (в редких случаях заражению могут подвергнуться смартфоны, «умные» телевизоры, серверы).
Но исследователи Palo Alto Networks заметили, что найденная ими версия Mirai также эксплуатирует уязвимости в беспроводных решениях для презентаций WePresent WiPG-1000 и коммерческих телевизорах LG Supersign. Эксплоиты для этих устройств ранее уже были доступны в онлайне (1, 2), но теперь их впервые стали использовать для проведения реальных атак.
В таблице ниже можно увидеть все новые для Mirai эксплоиты, найденные в этой версии малвари.
| Уязвимость | Уязвимые устройства |
| CVE-2018-17173 | Телевизоры LG Supersign |
| Инъекция команд в WePresent WiPG-1000 | Беспроводные решения для презентаций WePresent WiPG-1000 |
| RCE в DLink DCS-930L | Облачные камеры DLink DCS-930L |
| Исполнение команд в DLink diagnostic.php | Роутеры DLink DIR-645, DIR-815 |
| RCE в Zyxel P660HN | Роутеры Zyxel P660HN-T |
| CVE-2016-1555 | Netgear WG102, WG103, WN604, WNDAP350, WNDAP360, WNAP320, WNAP210, WNDAP660, WNDAP620 |
| CVE-2017-6077, CVE-2017-6334 | Модемы и роутеры Netgear DGN2200 N300 |
| RCE в Netgear Prosafe | Контроллеры Netgear Prosafe WC9500, WC7600, WC7520 |
Нужно отметь, что отчет Palo Alto Networks появился всего через несколько дней после предупреждения, опубликованного известным ИБ-специалистом, основателем Bad Packets LLC, Троем Муршем (Troy Mursch). Тот предупреждал, что наблюдается значительный подъем активности Mirai.
Mirai-like detections continue an upward trend over the last 60 days. Largest spike of activity happened in the last two weeks. @circl_lu has shared a similar observation.
— Bad Packets Report (@bad_packets) March 16, 2019
Will botnets infected with Mirai-like #malware ever go away? pic.twitter.com/MVMBHNa5lV
