Raptor Train: A botnet, amely kihasználja mindennapi eszközeit

A botnetek egyre kifinomultabbak és veszélyesebbek. Az egyik legriasztóbb fertőzés a Raptor Train Botnet. A 2020-ban csendesen kialakuló, eltérített kis irodai/otthoni irodai (SOHO) és tárgyak internetes (IoT) eszközökből álló hatalmas hálózat egy kínai nemzetállami veszélyt jelentő szereplőhöz, a Flax Typhoonhoz kapcsolódott. A lopakodó módon működő Raptor Trainnek nemcsak több százezer eszközt sikerült kompromittálnia, hanem az egyik legerősebb és legtartósabb botnetté is nőtte ki magát a közelmúltban.

Mi az a Raptor Train botnet?

A Raptor Train egy botnet – az internethez kapcsolódó feltört eszközök hálózata, amelyet egy rosszindulatú üzemeltető irányít. Ezek az eszközök, elsősorban útválasztók, IP-kamerák, DVR-k és hálózathoz csatolt tároló (NAS) szerverek, hétköznapi emberek és vállalkozások tulajdonát képezik. Tulajdonosaik tudta nélkül azonban beszervezték őket egy hatalmas digitális hadseregbe.

A hagyományos rosszindulatú programokkal ellentétben a Raptor Train bizonyos típusú sebezhető eszközöket céloz meg, amelyeket általában otthonokban vagy kis irodákban használnak. Ide tartoznak olyan jól ismert gyártók termékei, mint a TP-Link, Asus, Synology és Hikvision. A botnet infrastruktúráját úgy tervezték, hogy fenntartsa az irányítást ezen eszközök felett, három szintet felölelő architektúrával.

1. Az 1. szint a fertőzött IoT-eszközöket tartalmazza.
2. A 2. szint a parancsok küldéséért és az új fertőzések telepítéséért felelős.
3. A Sparrow néven ismert központosított rendszer által kezelt 3. szint utasításokat ad ki, és követi a teljes hálózat műveleteit.

2020 óta a Raptor Train folyamatosan bővíti hatókörét. 2023 júniusáig több mint 60 000 eszköz volt aktívan fertőzött, és több mint 200 000-et céloztak meg a kezdetek óta. Ami ezt a botnetet különösen félelmetessé teszi, az az a képessége, hogy újraindítás vagy ideiglenes tisztítás után is képes újra megfertőzni az eszközöket, így rendkívül ellenálló.

Mit csinál a Raptor Train?

A Raptor Train elsődleges funkciója, hogy csendes digitális hadseregként működjön, amely különféle rosszindulatú feladatokhoz elérhető. Ezek a növekvő elosztott szolgáltatásmegtagadási (DDoS) támadásoktól az adatlopásig és a kémkedésig terjedhetnek. Bár ez idáig nem érkezett megerősített DDoS támadás erről a botnetről, a benne rejlő lehetőségek riasztóak. A hálózat puszta mérete, parancsok kiadására, fájlok futtatására és adatátvitelre való képességével együtt veszélyes eszközzé teszi minden olyan szereplő számára, aki meghatározott célpontok megzavarására vagy kémkedésére törekszik.

A kutatók rájöttek, hogy a botnetet több kampányban is használták az évek során. Minden kampány különböző domaineket és különböző eszközöket célzott meg, így fejlődött, hogy megelőzze az észlelési erőfeszítéseket. Az egyik közelmúltbeli, „Oriole” kódnevű kampány annyira elterjedt, hogy egyes domainjei felkerültek a nagy forgalmú domainlistákra, ami megnehezítette a biztonsági eszközök blokkolását.

Úgy gondolják, hogy a Raptor Train-t kémkedésre használták, olyan ágazatokat célozva meg, mint a védelem, az oktatás és a távközlés. Üzemeltetői bebizonyították, hogy képesek a sebezhetőségek keresésére és a szoftver ismert hibáinak kihasználására, amelyek jogosulatlan hozzáféréshez vagy adatszivárgáshoz vezethetnek.

Hogyan kerülheti el a Raptor vonatot?

A jó hír az, hogy bár a Raptor Train kifinomult, van mód arra, hogy megvédje eszközeit attól, hogy besorozzák ebbe a botnetbe. Íme néhány alapvető lépés a növekvő fenyegetés elleni védekezéshez:

1. Rendszeresen frissítse eszközeit : A Raptor Train sikerének egyik fő oka az, hogy sok IoT-eszköz javítás nélkül maradt, és elavult szoftverek futnak. Ügyeljen arra, hogy rendszeresen frissítse útválasztóit, kameráit és egyéb csatlakoztatott eszközeit, hogy a legújabb biztonsági javításokkal rendelkezzenek.

2. Az alapértelmezett jelszavak módosítása : A legtöbb IoT-eszköz alapértelmezett felhasználónevekkel és jelszavakkal rendelkezik, amelyeket a támadók könnyen kitalálhatnak. Mindig módosítsa ezeket valami biztonságosabbra, amint új eszközt állít be.

3. Engedélyezze a tűzfalakat és tiltsa le a nem használt funkciókat : Egyes eszközök olyan funkciókat kínálnak, amelyek a mindennapi használathoz szükségtelenek, de a hackerek kihasználhatják őket. Tekintse át eszköze beállításait, és tiltson le mindent, amire nincs szüksége, például a távoli hozzáférést vagy az Univerzális Plug and Play (UPnP) funkciót.

4. Hálózati tevékenység figyelése : Az otthoni vagy irodai hálózaton végzett szokatlan tevékenységek figyelése segíthet észlelni, ha egy eszközt feltörtek. Használjon eszközöket, például behatolásérzékelő rendszereket a forgalom figyelésére.

5. A hálózat szegmentálása : Ha lehetséges, hozzon létre külön hálózatokat az IoT-eszközei számára. Ezért még akkor is, ha egy eszközt feltörnek, a támadó nehezebben tud hozzáférni a kritikusabb rendszerekhez, például a számítógépekhez vagy a munkahelyi szerverekhez.

Miért ébresztő a Raptor Train?

Az olyan botnetek, mint a Raptor Train, a kiberhadviselés nagyobb trendjének részét képezik, ahol a közönséges eszközöket államilag támogatott kémkedésre és zavarásra használják ki. Ami különösen aggasztó, az a sebezhető IoT-eszközök nagy száma világszerte. A számítógépekkel és okostelefonokkal ellentétben ezek közül sok kütyü nem kap rendszeres biztonsági frissítéseket, így a hackerek elsődleges célpontjai.

A Raptor Train botnet rávilágít arra, hogy egyre nagyobb szükség van a csatlakoztatott eszközök erősebb kiberbiztonsági intézkedéseire. Legyen szó routerről otthonában vagy biztonsági kameráról az irodában, ezek az eszközök potenciális átjárók a rossz színészek számára.

A kiberbiztonsági szakértők folyamatosan dolgoznak a botnet felszámolásán, de amíg az IoT-eszközök sebezhetősége fennáll, a Raptor Train és a hasonló hálózatok továbbra is fenyegetést jelentenek. Ahogy mindennapi életünk egyre több területe kapcsolódik az internethez, ezeknek az eszközöknek a megóvása a kompromisszumoktól még soha nem volt kritikusabb.

Bottom Line

A Raptor Train jól példázza a sebezhető IoT- és SOHO-eszközök által jelentett kockázatokat. Azzal, hogy éber marad, rendszeresen frissíti az eszközöket, és olyan bevált gyakorlatokat alkalmaz, mint a jelszókezelés és a hálózati szegmentálás, a felhasználók jelentősen csökkenthetik az ehhez hasonló botnetek kockázatát. A kiberbiztonsági környezet tovább fog fejlődni, és a digitális életünk védelmét szolgáló megközelítésünknek is ennek kell lennie.