Aquabot Botnet: un altro protagonista nel panorama delle minacce DDoS

Comprendere la botnet Aquabot

Aquabot è una botnet basata sul framework Mirai , un noto ceppo di malware utilizzato per prendere il controllo dei dispositivi connessi a Internet per attività informatiche dirompenti. Dalla sua comparsa alla fine del 2023, è stato identificato come uno strumento progettato principalmente per eseguire attacchi Distributed Denial-of-Service (DDoS) su larga scala. Di recente ha attirato l'attenzione per i suoi tentativi di sfruttare una falla di sicurezza nei telefoni Mitel, con l'obiettivo di espandere la sua rete di dispositivi compromessi.

La vulnerabilità mirata, denominata CVE-2024-41710, è un difetto di iniezione di comandi nel processo di avvio di alcuni modelli di telefono SIP Mitel. Se sfruttata con successo, garantisce agli aggressori la possibilità di eseguire comandi arbitrari sui dispositivi interessati, registrandoli di fatto nella crescente rete di Aquabot. Nonostante Mitel abbia rilasciato una correzione di sicurezza per il problema a metà del 2024, gli aggressori hanno continuato i loro sforzi per compromettere i dispositivi che rimangono senza patch.

L'obiettivo di Aquabot

Lo scopo principale di Aquabot è condurre attacchi DDoS. Questi tipi di attacchi comportano il sovraccarico di reti o servizi mirati con traffico eccessivo, causando interruzioni e potenziali interruzioni. I report suggeriscono che coloro che stanno dietro Aquabot potrebbero offrire l'accesso a questa botnet come servizio, consentendo ai clienti di lanciare i propri attacchi DDoS. Le prove di tali operazioni sono emerse su Telegram, dove i criminali informatici sembrano fare pubblicità sotto pseudonimi come Cursinq Firewall, The Eye Services e The Eye Botnet.

Mentre alcuni individui sostengono che Aquabot sia utilizzato puramente per scopi di test o educativi, analisi più approfondite contraddicono queste affermazioni. L'infrastruttura della botnet si allinea con modelli comunemente associati ai servizi di cyberattacco a pagamento, rafforzando i sospetti sul suo vero intento.

Come si diffonde Aquabot

Le ultime attività di Aquabot riguardano lo sfruttamento di molteplici vulnerabilità oltre alla falla del telefono Mitel. La botnet è stata osservata mentre prendeva di mira note debolezze di sicurezza, tra cui CVE-2018-10561, CVE-2018-10562, CVE-2018-17532, CVE-2022-31137 e CVE-2023-26801, tra le altre. Alcune di queste vulnerabilità interessano router e altri hardware connessi a Internet, consentendo ad Aquabot di infiltrarsi nei dispositivi in un ampio spettro.

Una volta che un dispositivo è compromesso, viene eseguito uno script per recuperare il malware botnet. In attacchi recenti, Aquabot è stato osservato mentre recuperava il suo payload usando il comando "wget", che gli consente di scaricare e installare i componenti necessari per l'esecuzione.

L'ultima iterazione della botnet include una funzione degna di nota chiamata "report_kill", che avvisa il server di comando e controllo (C2) quando un dispositivo infetto riceve un segnale di terminazione. Sebbene non sia stata rilevata alcuna risposta immediata dal server C2 in seguito a questa notifica, questa funzionalità suggerisce perfezionamenti in corso nell'architettura della botnet. Inoltre, Aquabot tenta di eludere il rilevamento rinominandosi "httpd.x86" e terminando processi specifici che potrebbero interferire con le sue operazioni.

Le implicazioni dell'attività di Aquabot

La continua evoluzione delle botnet basate su Mirai come Aquabot evidenzia le persistenti sfide alla sicurezza associate ai dispositivi connessi a Internet. Molti dispositivi presi di mira non dispongono di misure di sicurezza robuste, hanno raggiunto la fine del loro ciclo di vita di supporto o rimangono configurati con credenziali predefinite. Ciò li rende obiettivi interessanti per i criminali informatici che cercano di costruire botnet estese con il minimo sforzo.

Una preoccupazione crescente è la possibilità che i criminali informatici sfruttino la rete di Aquabot per attacchi su larga scala ad aziende, governi o infrastrutture critiche. Gli attacchi DDoS possono causare interruzioni del servizio, perdite finanziarie e danni alla reputazione, soprattutto per le organizzazioni che dipendono da piattaforme online. Inoltre, la presenza di un servizio di mercato nero che vende l'accesso ad Aquabot aumenta la probabilità di abusi diffusi, poiché individui con scarse conoscenze tecniche potrebbero potenzialmente lanciare i propri attacchi.

Il quadro generale

L'emergere di Aquabot sottolinea il problema più ampio della sicurezza informatica nel regno dell'IoT (Internet of Things) e dei dispositivi in rete. Molti produttori continuano a dare priorità alla funzionalità rispetto alla sicurezza, lasciando vulnerabilità che gli aggressori sono rapidi a sfruttare. Mentre gli aggiornamenti software e le patch forniscono una difesa contro gli exploit noti, la sfida rimane quella di garantire che gli utenti applichino questi aggiornamenti in modo tempestivo.

Mentre le botnet continuano a evolversi, gli aggressori stanno perfezionando i loro metodi per mantenere la persistenza ed evitare di essere rilevati. L'introduzione di funzionalità come "report_kill" suggerisce uno spostamento verso tattiche più sofisticate, aprendo potenzialmente la strada a varianti ancora più stealth in futuro.

Considerazioni finali

Aquabot è un altro esempio di come gli attori delle minacce sfruttino le vulnerabilità esistenti per espandere la loro portata. Mentre gli sforzi per correggere i dispositivi interessati sono cruciali, affrontare le cause profonde, come le pratiche di sicurezza deboli e l'hardware obsoleto, rimane una sfida fondamentale. Con i criminali informatici che offrono attivamente servizi botnet su piattaforme sotterranee, l'importanza di misure di sicurezza informatica robuste non è mai stata così chiara.

Sia le organizzazioni che gli individui devono rimanere vigili, assicurandosi che i loro dispositivi siano adeguatamente protetti contro minacce emergenti come Aquabot. Aggiornamenti regolari, pratiche di autenticazione avanzate e monitoraggio della rete sono passaggi essenziali per mitigare il rischio rappresentato dalle botnet nel panorama della sicurezza informatica in evoluzione.