Raptor Train: het botnet dat misbruik maakt van uw alledaagse apparaten

Botnets worden steeds geavanceerder en gevaarlijker. Een van de meest alarmerende infecties is het Raptor Train Botnet. Dit enorme netwerk van gekaapte kleine kantoor-/thuiskantoor (SOHO) en Internet of Things (IoT) apparaten ontstond in 2020 in stilte en is gelinkt aan een Chinese natiestaat-bedreigingsactor, Flax Typhoon. Raptor Train opereert in het geheim en is er niet alleen in geslaagd honderdduizenden apparaten te compromitteren, maar is ook uitgegroeid tot een van de krachtigste en meest persistente botnets in de recente geschiedenis.

Wat is het Raptor Train Botnet?

Raptor Train is een botnet: een netwerk van gecompromitteerde apparaten die met het internet zijn verbonden en worden aangestuurd door een kwaadwillende operator. Deze apparaten, voornamelijk routers, IP-camera's, DVR's en NAS-servers (Network Attached Storage), zijn eigendom van gewone mensen en bedrijven. Toch zijn ze, zonder dat hun eigenaren het weten, gerekruteerd voor een enorm digitaal leger.

In tegenstelling tot traditionele malware richt Raptor Train zich op specifieke typen kwetsbare apparaten die doorgaans thuis of op kleine kantoren worden gebruikt. Dit omvat producten van bekende fabrikanten zoals TP-Link, Asus, Synology en Hikvision. De infrastructuur van het botnet is ontworpen om controle te houden over deze apparaten, met een architectuur die drie lagen beslaat.

1. Niveau 1 bestaat uit de geïnfecteerde IoT-apparaten.
2. Niveau 2 is verantwoordelijk voor het versturen van commando's en het verspreiden van nieuwe infecties.
3. Tier 3 , beheerd door een gecentraliseerd systeem dat Sparrow heet, geeft instructies en houdt de activiteiten van het gehele netwerk bij.

Sinds 2020 heeft Raptor Train zijn bereik voortdurend uitgebreid. In juni 2023 waren er meer dan 60.000 apparaten actief geïnfecteerd, waarvan er meer dan 200.000 het doelwit waren sinds de oprichting. Wat dit botnet bijzonder formidabel maakt, is het vermogen om apparaten opnieuw te infecteren, zelfs nadat ze opnieuw zijn opgestart of tijdelijk zijn schoongemaakt, waardoor het extreem veerkrachtig is.

Wat doet Raptor Train?

De primaire functie van Raptor Train is om te fungeren als een stil digitaal leger, beschikbaar voor verschillende kwaadaardige taken. Deze kunnen variëren van het uitvoeren van Distributed Denial of Service (DDoS)-aanvallen tot datadiefstal en spionage. Hoewel er tot nu toe geen bevestigde DDoS-aanvallen van dit botnet zijn geweest, is het potentieel ervan alarmerend. De enorme omvang van het netwerk, gecombineerd met het vermogen om opdrachten te geven, bestanden uit te voeren en data over te dragen, maakt het een gevaarlijk hulpmiddel voor elke actor die specifieke doelen wil verstoren of bespioneren.

Onderzoekers hebben ontdekt dat het botnet in de loop der jaren in verschillende campagnes is gebruikt. Elke campagne gebruikte verschillende domeinen en richtte zich op verschillende apparaten, en ontwikkelde zich om detectiepogingen voor te blijven. Een recente campagne, met de codenaam "Oriole", werd zo wijdverspreid dat sommige van de domeinen werden opgenomen in domeinlijsten met veel verkeer, waardoor ze moeilijker te blokkeren waren voor beveiligingstools.

Raptor Train zou zijn gebruikt voor spionage, gericht op sectoren als defensie, onderwijs en telecommunicatie. De operators hebben laten zien dat ze kwetsbaarheden kunnen scannen en bekende fouten in software kunnen uitbuiten, wat kan leiden tot ongeautoriseerde toegang of datalekken.

Hoe kun je de Raptor Train vermijden?

Het goede nieuws is dat Raptor Train weliswaar geavanceerd is, maar dat er manieren zijn om uw apparaten te beschermen tegen inlijving in dit botnet. Hier zijn enkele essentiële stappen om u te verdedigen tegen de groeiende dreiging:

1. Werk uw apparaten regelmatig bij : Een van de belangrijkste redenen waarom Raptor Train zo succesvol is, is dat veel IoT-apparaten ongepatcht zijn en verouderde software draaien. Zorg ervoor dat u uw routers, camera's en andere verbonden apparaten regelmatig bijwerkt om ervoor te zorgen dat ze de nieuwste beveiligingspatches hebben.

2. Standaardwachtwoorden wijzigen : De meeste IoT-apparaten worden geleverd met standaardgebruikersnamen en wachtwoorden die gemakkelijk te raden zijn voor aanvallers. Wijzig deze altijd naar iets veiligers zodra u een nieuw apparaat instelt.

3. Firewalls inschakelen en ongebruikte functies uitschakelen : Sommige apparaten bieden functies die onnodig zijn voor dagelijks gebruik, maar die door hackers kunnen worden misbruikt. Controleer de instellingen van uw apparaat en schakel alles uit wat u niet nodig hebt, zoals externe toegang of Universal Plug and Play (UPnP).

4. Monitor netwerkactiviteit : Het monitoren van ongebruikelijke activiteit op uw thuis- of kantoornetwerk kan helpen detecteren of een apparaat is gecompromitteerd. Gebruik hulpmiddelen zoals intrusion detection systems om het verkeer te monitoren.

5. Segmenteer uw netwerk : maak indien mogelijk aparte netwerken voor uw IoT-apparaten. Daarom zal het voor een aanvaller moeilijker zijn om toegang te krijgen tot meer kritieke systemen, zoals uw computers of werkservers, zelfs als één apparaat is gecompromitteerd.

Waarom Raptor Train een wake-up call is

Botnets zoals Raptor Train maken deel uit van een grotere trend in cyberoorlogvoering, waarbij gewone apparaten worden misbruikt voor door de staat gesponsorde spionage en verstoring. Wat vooral zorgwekkend is, is het grote aantal kwetsbare IoT-apparaten wereldwijd. In tegenstelling tot computers of smartphones ontvangen veel van deze gadgets geen regelmatige beveiligingsupdates, waardoor ze een belangrijk doelwit zijn voor hackers.

Het Raptor Train-botnet benadrukt een groeiende behoefte aan sterkere cybersecuritymaatregelen voor verbonden apparaten. Of het nu gaat om een router in uw huis of een beveiligingscamera op kantoor, deze apparaten zijn potentiële gateways voor kwaadwillenden.

Cybersecurity-experts werken voortdurend aan het ontmantelen van dit botnet, maar zolang er kwetsbaarheden in IoT-apparaten bestaan, blijven Raptor Train en vergelijkbare netwerken een bedreiging. Naarmate meer aspecten van ons dagelijks leven verbonden raken met het internet, is het beschermen van deze apparaten tegen inbreuken nog nooit zo belangrijk geweest.

Conclusie

Raptor Train is een voorbeeld van de risico's die kwetsbare IoT- en SOHO-apparaten met zich meebrengen. Door waakzaam te blijven, apparaten regelmatig te updaten en best practices te gebruiken zoals wachtwoordbeheer en netwerksegmentatie, kunnen gebruikers hun risico op botnets zoals deze aanzienlijk verkleinen. Het cybersecuritylandschap zal zich blijven ontwikkelen, en dat geldt ook voor onze aanpak om ons digitale leven te beschermen.