Raptor Train: Botnet, który wykorzystuje Twoje codzienne urządzenia

Botnety stają się coraz bardziej wyrafinowane i niebezpieczne. Jedną z najbardziej alarmujących infekcji jest Raptor Train Botnet. Ta rozległa sieć przejętych urządzeń z małych biur/biur domowych (SOHO) i Internetu rzeczy (IoT) pojawiła się po cichu w 2020 r. i została powiązana z chińskim państwowym aktorem zagrożenia, Flax Typhoon. Działając w ukryciu, Raptor Train nie tylko zdołał naruszyć bezpieczeństwo setek tysięcy urządzeń, ale także stał się jednym z najpotężniejszych i najbardziej uporczywych botnetów w ostatnich latach.

Czym jest botnet Raptor Train?

Raptor Train to botnet — sieć zainfekowanych urządzeń podłączonych do Internetu, kontrolowana przez złośliwego operatora. Urządzenia te, głównie routery, kamery IP, rejestratory DVR i serwery pamięci masowej podłączonej do sieci (NAS), należą do zwykłych ludzi i firm. Jednak bez wiedzy ich właścicieli zostały zrekrutowane do ogromnej cyfrowej armii.

W przeciwieństwie do tradycyjnego złośliwego oprogramowania, Raptor Train atakuje określone typy podatnych urządzeń, które są zazwyczaj używane w domach lub małych biurach. Obejmuje to produkty znanych producentów, takich jak TP-Link, Asus, Synology i Hikvision. Infrastruktura botnetu jest zaprojektowana tak, aby utrzymać kontrolę nad tymi urządzeniami, z architekturą obejmującą trzy poziomy.

1. Poziom 1 obejmuje zainfekowane urządzenia IoT.
2. Poziom 2 odpowiada za wysyłanie poleceń i wdrażanie nowych infekcji.
3. Poziom 3 , zarządzany przez scentralizowany system znany jako Sparrow, wydaje instrukcje i śledzi działanie całej sieci.

Od 2020 r. Raptor Train nieustannie poszerzał swój zasięg. Do czerwca 2023 r. aktywnie zainfekowano ponad 60 000 urządzeń, a od początku ataku zaatakowano ponad 200 000 z nich. To, co sprawia, że ten botnet jest szczególnie groźny, to jego zdolność do ponownego zarażania urządzeń nawet po ich ponownym uruchomieniu lub tymczasowym wyczyszczeniu, co czyni go niezwykle odpornym.

Co robi pociąg Raptor?

Podstawową funkcją Raptor Train jest działanie jako cicha cyfrowa armia, dostępna do różnych złośliwych zadań. Mogą one obejmować przeprowadzanie ataków typu Distributed Denial of Service (DDoS) po kradzież danych i szpiegostwo. Chociaż do tej pory nie odnotowano żadnych potwierdzonych ataków DDoS z tego botnetu, jego potencjał jest alarmujący. Ogromna skala sieci, w połączeniu z jej zdolnością do wydawania poleceń, wykonywania plików i przesyłania danych, sprawia, że jest to niebezpieczne narzędzie dla każdego aktora, który chce zakłócić lub szpiegować określone cele.

Badacze odkryli, że botnet był używany w kilku kampaniach na przestrzeni lat. Każda kampania wykorzystywała różne domeny i była ukierunkowana na różne urządzenia, ewoluując, aby wyprzedzić wysiłki związane z wykrywaniem. Jedna z ostatnich kampanii o nazwie kodowej „Oriole” stała się tak powszechna, że niektóre z jej domen znalazły się na listach domen o dużym ruchu, co utrudniło ich blokowanie przez narzędzia bezpieczeństwa.

Uważa się, że Raptor Train był używany do szpiegostwa, atakując sektory takie jak obronność, edukacja i telekomunikacja. Jego operatorzy wykazali zdolność skanowania w poszukiwaniu luk i wykorzystywania znanych wad oprogramowania, co może prowadzić do nieautoryzowanego dostępu lub naruszeń danych.

Jak uniknąć kolizji z Raptorami?

Dobra wiadomość jest taka, że chociaż Raptor Train jest wyrafinowany, istnieją sposoby na ochronę urządzeń przed wcieleniem do tej sieci botów. Oto kilka niezbędnych kroków, aby obronić się przed rosnącym zagrożeniem:

1. Regularnie aktualizuj swoje urządzenia : Jednym z głównych powodów, dla których Raptor Train odniósł tak wielki sukces, jest to, że wiele urządzeń IoT pozostaje bez poprawek i działa na przestarzałym oprogramowaniu. Upewnij się, że regularnie aktualizujesz swoje routery, kamery i inne podłączone urządzenia, aby mieć pewność, że mają najnowsze poprawki zabezpieczeń.

2. Zmień domyślne hasła : Większość urządzeń IoT ma domyślne nazwy użytkowników i hasła, które są łatwe do odgadnięcia przez atakujących. Zawsze zmieniaj je na coś bezpieczniejszego, gdy tylko skonfigurujesz nowe urządzenie.

3. Włącz zapory sieciowe i wyłącz nieużywane funkcje : Niektóre urządzenia oferują funkcje, które są zbędne do codziennego użytku, ale mogą być wykorzystywane przez hakerów. Przejrzyj ustawienia urządzenia i wyłącz wszystko, czego nie potrzebujesz, np. zdalny dostęp lub Universal Plug and Play (UPnP).

4. Monitoruj aktywność sieciową : Monitorowanie nietypowej aktywności w sieci domowej lub biurowej może pomóc wykryć, czy urządzenie zostało naruszone. Użyj narzędzi, takich jak systemy wykrywania włamań, aby monitorować ruch.

5. Segmentuj swoją sieć : Jeśli to możliwe, stwórz oddzielne sieci dla swoich urządzeń IoT. Dlatego nawet jeśli jedno urządzenie zostanie naruszone, atakujący będzie miał trudności z uzyskaniem dostępu do bardziej krytycznych systemów, takich jak Twoje komputery lub serwery robocze.

Dlaczego pociąg Raptor jest sygnałem ostrzegawczym

Botnety takie jak Raptor Train są częścią szerszego trendu w cyberwojnie, w której zwykłe urządzenia są wykorzystywane do szpiegostwa i zakłócania sponsorowanego przez państwo. Szczególnie niepokojąca jest ogromna liczba podatnych urządzeń IoT na całym świecie. W przeciwieństwie do komputerów lub smartfonów, wiele z tych gadżetów nie otrzymuje regularnych aktualizacji zabezpieczeń, co czyni je głównymi celami hakerów.

Botnet Raptor Train podkreśla rosnącą potrzebę silniejszych środków cyberbezpieczeństwa dla urządzeń podłączonych do sieci. Niezależnie od tego, czy jest to router w domu, czy kamera bezpieczeństwa w biurze, urządzenia te są potencjalnymi bramami dla złych aktorów.

Eksperci ds. cyberbezpieczeństwa nieustannie pracują nad rozmontowaniem tej sieci botów, ale dopóki istnieją luki w zabezpieczeniach urządzeń IoT, Raptor Train i podobne sieci pozostaną zagrożeniem. Ponieważ coraz więcej aspektów naszego codziennego życia łączy się z Internetem, ochrona tych urządzeń przed naruszeniem nigdy nie była tak krytyczna.

Podsumowanie

Raptor Train jest przykładem ryzyka, jakie stwarzają podatne urządzenia IoT i SOHO. Dzięki zachowaniu czujności, regularnej aktualizacji urządzeń i stosowaniu najlepszych praktyk, takich jak zarządzanie hasłami i segmentacja sieci, użytkownicy mogą znacznie zmniejszyć ryzyko wystąpienia botnetów, takich jak ten. Krajobraz cyberbezpieczeństwa będzie się nadal rozwijał, podobnie jak nasze podejście do ochrony naszego cyfrowego życia.