AIRASHI Botnet: Złożone cyberzagrożenie atakujące urządzenia IoT

Botnet AIRASHI wyróżnia się jako wyrafinowany przykład tego, jak aktorzy zagrożeń wykorzystują luki w zabezpieczeniach urządzeń Internetu Rzeczy (IoT) do organizowania ataków na dużą skalę. Ten botnet, pochodna wariantu AISURU, jest używany głównie do przeprowadzania ataków typu DDoS (Distributed Denial-of-Service). Mimo to jego ewoluujące funkcje sugerują ambitny zakres wykraczający poza typowe cyberwłamania.

Czym jest botnet AIRASHI?

Botnet AIRASHI to złośliwa sieć zainfekowanych urządzeń rozmieszczona przez cyberprzestępców w celu przeprowadzania skoordynowanych cyberataków. Ten botnet atakuje urządzenia IoT, wykorzystując znane luki, w tym lukę typu zero-day w routerach Cambium Networks cnPilot. Od czerwca 2024 r. operatorzy botnetu wykorzystują tę i inne słabości urządzeń, takich jak kamery IP AVTECH i urządzenia Shenzhen TVT. Chociaż szczegółowe informacje na temat luki typu zero-day pozostają nieujawnione, środek ten ma na celu zapobieganie dalszej eksploatacji.

Ten botnet jest szczególnie znany ze swojej zdolności do przeprowadzania ataków DDoS o dużej objętości, z raportami o pojemności ataku od 1 do 3 terabitów na sekundę. Rozkład geograficzny dotkniętych urządzeń wskazuje na Brazylię, Rosję, Wietnam i Indonezję jako główne źródła zainfekowanego sprzętu, podczas gdy główne cele ataku obejmują Chiny, Stany Zjednoczone i Polskę.

Co motywuje AIRASHI?

W swojej istocie botnet AIRASHI jest zaprojektowany dla zysku i zakłóceń. Jego główna cecha, zdolność do przeprowadzania ataków DDoS, sugeruje, że operatorzy mogą oferować klientom modele „ataku jako usługi” chcącym przytłoczyć witryny internetowe, aplikacje lub infrastrukturę ruchem.

Jednak ostatnie wydarzenia wskazują na szersze ambicje. Odkryto warianty AIRASHI integrujące funkcjonalności proxyware, potencjalnie umożliwiając zagrożonym urządzeniom działanie jako przekaźniki dla innych typów złośliwej aktywności. Ta ekspansja wskazuje na operatorów botnetów, którzy chcą zdywersyfikować swoje metody monetyzacji, przekształcając zainfekowane urządzenia w narzędzia do czegoś więcej niż tylko ataków DDoS.

Zawiłości techniczne AIRASHI

Botnet AIRASHI występuje w dwóch podstawowych wariantach:

• AIRASHI-DDoS: Ta wersja specjalizuje się w przeprowadzaniu ataków DDoS, a także obsługuje wykonywanie dowolnych poleceń i odwrotny dostęp do powłoki.
• AIRASHI-Proxy: Zmodyfikowana forma AIRASHI-DDoS. Ta wersja obejmuje funkcjonalności proxy umożliwiające wykonywanie bardziej ukrytych operacji.

Cechą charakterystyczną projektu AIRASHI jest jego poleganie na zaawansowanych protokołach szyfrowania, takich jak HMAC-SHA256 i CHACHA20, zapewniających bezpieczną komunikację między zainfekowanymi urządzeniami a serwerami poleceń i kontroli (C2) botnetu. To znacznie utrudnia przechwycenie lub zakłócenie działań botnetu.

Ponadto adaptacyjne techniki botnetu obejmują częste aktualizacje protokołów sieciowych i poleganie na zapytaniach DNS w celu ukrycia lokalizacji serwerów C2. Te cechy przyczyniają się do jego odporności, czyniąc go groźnym przeciwnikiem dla zespołów ds. cyberbezpieczeństwa.

Konsekwencje działalności AIRASHI

Skutki działań AIRASHI wykraczają daleko poza bezpośredni wpływ ataków DDoS. Wykorzystując luki w zabezpieczeniach urządzeń IoT, botnet zagraża poszczególnym użytkownikom i podważa bezpieczeństwo krytycznej infrastruktury. Urządzenia takie jak routery, kamery IP i rejestratory DVR, którym często brakuje solidnych środków bezpieczeństwa, są szczególnie atrakcyjnymi celami.

Te luki pozwalają atakującym przejąć kontrolę nad urządzeniami, zamieniając je w węzły w rozległej sieci botnet, która może przytłoczyć nawet najbardziej odporne systemy. Ponadto integracja funkcjonalności proxy wskazuje na potencjał tych urządzeń do ułatwiania szerszych działań cyberprzestępczych, takich jak kradzież danych lub dystrybucja złośliwych ładunków.

Szerszy kontekst: AIRASHI i inne botnety

AIRASHI nie jest odosobnionym przypadkiem, ale częścią szerszego trendu, w którym botnety wykorzystują urządzenia IoT do skalowania swoich operacji. Na przykład AISURU, poprzednik AIRASHI, był powiązany z głośnym atakiem DDoS wymierzonym w Steam podczas premiery gry Black Myth: Wukong . Ewolucja od AISURU do AIRASHI podkreśla zdolność adaptacji tych sieci, które mogą wstrzymywać operacje, integrować nowe funkcje i wznawiać ataki z ulepszonymi możliwościami.

Zdecentralizowana architektura widoczna w innych botnetach, takich jak alphatronBot, dodatkowo pokazuje, jak atakujący wprowadzają innowacje, aby uniknąć wykrycia i utrzymać kontrolę nad swoimi złośliwymi operacjami. Poprzez dystrybucję możliwości poleceń na wielu węzłach, te botnety stają się bardziej odporne na tradycyjne działania mające na celu ich obalenie.

Łagodzenie ryzyka AIRASHI

Rozwiązanie zagrożenia, jakie stwarza AIRASHI, wymaga podejścia opartego na współpracy, w którym uczestniczą producenci urządzeń, specjaliści ds. cyberbezpieczeństwa i użytkownicy końcowi. Producenci muszą priorytetowo traktować łatanie luk w zabezpieczeniach urządzeń IoT, podczas gdy użytkownicy powinni regularnie aktualizować oprogramowanie sprzętowe i stosować silne środki uwierzytelniania.

Na szerszym poziomie eksperci ds. cyberbezpieczeństwa pracują nad identyfikacją i neutralizacją infrastruktury obsługującej AIRASHI. Ulepszone monitorowanie wzorców ruchu i proaktywne informacje o zagrożeniach mogą odegrać kluczową rolę w łagodzeniu wpływu botnetu.

Ostatnie przemyślenia

Botnet AIRASHI stanowi złożone i adaptacyjne zagrożenie, które wykorzystuje luki w zabezpieczeniach IoT do przeprowadzania ataków na dużą skalę. Jego ewoluujące możliwości i strategiczne innowacje podkreślają rosnącą wyrafinowanie współczesnych cyberzagrożeń. Rozumiejąc mechanizmy i motywacje stojące za AIRASHI, interesariusze mogą podejmować proaktywne kroki w celu zabezpieczenia swoich systemów i złagodzenia ryzyka stwarzanego przez tego groźnego przeciwnika. Walka z botnetami, takimi jak AIRASHI, trwa, ale dzięki czujności i współpracy można poczynić postępy w zabezpieczaniu krajobrazu cyfrowego.