Aquabot-botnet: een andere speler in het DDoS-dreigingslandschap

Aquabot-botnet begrijpen

Aquabot is een botnet dat is gebouwd op het Mirai-framework , een bekende malware-stam die wordt gebruikt om de controle over met internet verbonden apparaten over te nemen voor verstorende cyberactiviteiten. Sinds de opkomst eind 2023 is het geïdentificeerd als een tool die primair is ontworpen om grootschalige Distributed Denial-of-Service (DDoS)-aanvallen uit te voeren. Het kreeg onlangs aandacht vanwege zijn pogingen om een beveiligingslek in Mitel-telefoons te exploiteren, met als doel zijn netwerk van gecompromitteerde apparaten uit te breiden.

De beoogde kwetsbaarheid, aangeduid als CVE-2024-41710, is een command injection-fout in het opstartproces van bepaalde Mitel SIP-telefoonmodellen. Als het succesvol wordt uitgebuit, krijgen aanvallers de mogelijkheid om willekeurige opdrachten uit te voeren op getroffen apparaten, waardoor ze effectief worden ingeschreven in het groeiende netwerk van Aquabot. Ondanks dat Mitel medio 2024 een beveiligingsoplossing voor het probleem uitbracht, zijn aanvallers doorgegaan met hun pogingen om apparaten te compromitteren die nog niet zijn gepatcht.

Het doel van Aquabot

Het hoofddoel van Aquabot is het uitvoeren van DDoS-aanvallen. Dit soort aanvallen overweldigen gerichte netwerken of services met overmatig verkeer, wat leidt tot verstoringen en mogelijke uitval. Rapporten suggereren dat degenen achter Aquabot mogelijk toegang tot dit botnet aanbieden als een service, waardoor klanten hun eigen DDoS-aanvallen kunnen lanceren. Bewijs van dergelijke operaties is opgedoken op Telegram, waar cybercriminelen lijken te adverteren onder aliassen zoals Cursinq Firewall, The Eye Services en The Eye Botnet.

Terwijl sommige personen beweren dat Aquabot puur voor test- of educatieve doeleinden wordt gebruikt, spreekt een diepere analyse deze beweringen tegen. De infrastructuur van het botnet komt overeen met patronen die gewoonlijk worden geassocieerd met betaalde cyberaanvalsdiensten, wat de vermoedens over de ware bedoeling ervan versterkt.

Hoe Aquabot zich verspreidt

De laatste activiteiten van Aquabot omvatten het exploiteren van meerdere kwetsbaarheden die verder gaan dan alleen het Mitel-telefoonlek. Het botnet is waargenomen op bekende beveiligingszwakheden, waaronder CVE-2018-10561, CVE-2018-10562, CVE-2018-17532, CVE-2022-31137 en CVE-2023-26801, en andere. Sommige van deze kwetsbaarheden hebben invloed op routers en andere met internet verbonden hardware, waardoor Aquabot apparaten over een breed spectrum kan infiltreren.

Zodra een apparaat is gecompromitteerd, wordt een script uitgevoerd om de botnet-malware op te halen. Bij recente aanvallen is waargenomen dat Aquabot zijn payload ophaalt met behulp van de opdracht "wget", waarmee het de benodigde componenten voor uitvoering kan downloaden en installeren.

De nieuwste iteratie van het botnet bevat een opvallende functie genaamd "report_kill", die de command-and-control (C2) server waarschuwt wanneer een geïnfecteerd apparaat een beëindigingssignaal ontvangt. Hoewel er geen onmiddellijke reactie van de C2 server is gedetecteerd na deze melding, suggereert deze functie voortdurende verfijningen in de architectuur van het botnet. Bovendien probeert Aquabot detectie te ontwijken door zichzelf te hernoemen naar "httpd.x86" en specifieke processen te beëindigen die de werking ervan zouden kunnen verstoren.

De implicaties van de activiteit van Aquabot

De voortdurende evolutie van Mirai-gebaseerde botnets zoals Aquabot benadrukt de aanhoudende beveiligingsuitdagingen die gepaard gaan met apparaten die met internet zijn verbonden. Veel doelapparaten missen robuuste beveiligingsmaatregelen, hebben het einde van hun ondersteuningsleven bereikt of zijn nog steeds geconfigureerd met standaardreferenties. Dit maakt ze aantrekkelijke doelen voor cybercriminelen die uitgebreide botnets willen bouwen met minimale inspanning.

Een groeiende zorg is de mogelijkheid dat cybercriminelen het netwerk van Aquabot gebruiken voor grootschalige aanvallen op bedrijven, overheden of kritieke infrastructuur. DDoS-aanvallen kunnen leiden tot service-uitval, financiële verliezen en reputatieschade, vooral voor organisaties die afhankelijk zijn van online platforms. Bovendien vergroot de aanwezigheid van een zwarte marktdienst die toegang tot Aquabot verkoopt de kans op wijdverbreid misbruik, omdat personen met weinig technische kennis mogelijk hun eigen aanvallen kunnen lanceren.

Het grotere plaatje

De opkomst van Aquabot onderstreept het bredere probleem van cybersecurity op het gebied van IoT (Internet of Things) en netwerkapparaten. Veel fabrikanten geven nog steeds prioriteit aan functionaliteit boven beveiliging, waardoor kwetsbaarheden overblijven die aanvallers snel kunnen misbruiken. Hoewel software-updates en patches een verdediging bieden tegen bekende exploits, blijft de uitdaging om ervoor te zorgen dat gebruikers deze updates tijdig toepassen.

Naarmate botnets zich blijven ontwikkelen, verfijnen aanvallers hun methoden om persistentie te behouden en detectie te vermijden. De introductie van functies zoals "report_kill" suggereert een verschuiving naar meer geavanceerde tactieken, wat mogelijk de weg vrijmaakt voor nog stealthier varianten in de toekomst.

Laatste gedachten

Aquabot is een ander voorbeeld van hoe dreigingsactoren bestaande kwetsbaarheden gebruiken om hun bereik uit te breiden. Hoewel inspanningen om getroffen apparaten te patchen cruciaal zijn, blijft het aanpakken van de grondoorzaken, zoals zwakke beveiligingspraktijken en verouderde hardware, een fundamentele uitdaging. Nu cybercriminelen actief botnetdiensten aanbieden op ondergrondse platforms, is het belang van robuuste cyberbeveiligingsmaatregelen nog nooit zo duidelijk geweest.

Zowel organisaties als individuen moeten waakzaam blijven en ervoor zorgen dat hun apparaten goed beveiligd zijn tegen opkomende bedreigingen zoals Aquabot. Regelmatige updates, sterke authenticatiepraktijken en netwerkbewaking zijn essentiële stappen om het risico van botnets in het veranderende cybersecuritylandschap te beperken.