Mirai: carta d’identità di un malware

Home » Mirai: carta d’identità di un malware

Mirai è un malware progettato per operare su dispositivi connessi a Internet, specialmente dispositivi IoT, rendendoli parte di una botnet che può essere usata per attacchi informatici su larga scala.

Carta d’identità

Nome: Mirai.
Data di nascita: agosto 2016.
Luogo di nascita: fa la sua prima comparsa in rete.
Tipologia: botnet malware.
Nazionalità: internazionale, è stato diffuso a livello globale.
Obiettivo: compromettere dispositivi IoT (Internet of Things) per creare una botnet.

Principali funzionalità

scannerizzazione di Internet per individuare dispositivi vulnerabili;
tentativo di accesso ai dispositivi tramite credenziali di default o facili da individuare;
trasformazione dei dispositivi compromessi in “bot” per eseguire comandi remoti;
utilizzo dei bot per il lancio degli attacchi DDoS;
linguaggio di programmazione: C e GO;
sistema operativo mirato: Linux nella maggior parte dei casi, soprattutto nelle varianti integrate dei dispositivi IoT.

Modalità di infezione

sfrutta credenziali di default e deboli per accedere ai dispositivi;
mira a colpire router, telecamere di sicurezza e altri dispositivi IoT. NB: i dispositivi devono esser connessi a Internet.

Attacchi noti

attacco DDoS contro il sito di KrebsOnSecurity, avvenuto a settembre del 2016.
attacco DDoS contro il provider di DNS Dyn, che ha causato l’interruzione di molti servizi internet importanti nell’ottobre del 2016.

Sintomi di infezione

rallentamenti e interruzioni del funzionamento dei dispositivi IoT;
aumento anomalo del traffico di rete;
dispositivi che si collegano a IP non riconosciuti o sospetti.

Impatti e conseguenze

Mirai, con i suoi attacchi DDoS, ha dimostrato la vulnerabilità dell’infrastruttura Internet a livello globale e causato interruzioni significative, che hanno messo in luce i rischi associati ai dispositivi IoT non sicuri.

Strategie di difesa

cambia username e password preimpostati sui dispositivi IoT;
aggiorna i firmware dei dispositivi con regolarità, così potrai chiudere e arginare le falle di sicurezza;
usa soluzioni di sicurezza
specifiche per i dispositivi IoT;
monitora il traffico di rete per identificare attività sospette;
adotta soluzioni di filtraggio per bloccare traffico sospetto.

Curiosità

Il nome “Mirai,” che in giapponese significa “futuro” (未来), non è scelto a caso. La persona dietro questo nome, conosciuta con il soprannome “Anna-senpai,” ha infatti voluto lasciare un chiaro riferimento alla cultura giapponese. Questa scelta non è l’unico indizio tra Mirai e il Giappone, poiché la struttura del codice e alcuni dettagli tecnici suggeriscono una conoscenza profonda del mondo digitale made in Japan.

E c’è di più, alcuni ipotizzano che il creatore di Mirai possa avere legami con un’azienda di sicurezza informatica che combatte gli attacchi DDoS. Un aspetto che incuriosisce e porta al ragionamento di una teoria speculativa: Mirai è stato sviluppato per generare una maggiore richiesta dei servizi di protezione di questa azienda? Sebbene si tratti solo di una teoria, è interessante aprire un confronto sulle motivazioni e le dinamiche che possono stare dietro lo sviluppo di malware.

Genitore 1, Genitore 2 e forse anche Genitore 3 e 4
I genitori di Mirai, only the original, sono stati identificati e arrestati nel 2017. O almeno, così sembra.
L’arresto di queste persone, però, non ha precluso la diffusione del codice sorgente del malware, che ha permesso ad altri cyber criminali di creare nuove versioni modificate di Mirai.

Altri Articoli

La NIS2 manda in pensione la NIS

Mirai: carta d’identità di un malware

Broken Access Control

Cryptographic Failures

Operazione Endgame

A lezione di hacking: il watering hole

Terre d’Acqua

Quali sono stati i benefici che le analisi effettuate hanno portato a Terre d'Acqua?

Noi, "Terre d'Acqua", ci siamo trovati di fronte alla necessità di migliorare la nostra infrastruttura VoIP e di esaminare a fondo le possibili vulnerabilità del nostro sistema informatico.   Affidarsi a un Penetration Test è stata la scelta giusta. Abbiamo identificato e risolto diverse criticità in modo efficace. Tuttavia, il momento di svolta è stato con Foresight, che ha scoperto un grave incidente informatico risalente a una decina di anni fa, con il furto di credenziali email e serie compromissioni sul nostro server proxy che avevano facilitato invii massivi di spam da parte di account compromessi. Questa scoperta, alquanto allarmante, ha segnato un punto di svolta cruciale per la nostra consapevolezza e gestione della sicurezza informatica. Grazie alla prontezza e professionalità di Cybe, abbiamo rafforzato le nostre difese, raggiungendo un livello di sicurezza che ci garantisce una grande tranquillità. L'approccio combinato di Penetration Test e Foresight si è rivelato una formula di successo, assicurandoci una copertura sicurezza completa e proattiva.

Perché sceglierebbe di lavorare ancora con Cybe?

La nostra precedente collaborazione con Cybe e il bisogno di un servizio su misura e di alta qualità ci hanno fatto riflettere sul futuro del nostro rapporto.   Cybe ha dimostrato un rapporto qualità-prezzo senza pari e una straordinaria capacità di adattarsi alle nostre esigenze, proponendoci un Penetration Test in modalità black box, partendo esclusivamente dal nome del nostro dominio, una flessibilità non riscontrata altrove.
La nostra analisi di mercato ha evidenziato che il servizio Foresight, pur essendo di alta gamma, ci viene offerto a condizioni vantaggiose da Cybe. Questo mix di professionalità e personalizzazione del servizio ci ha convinti senza dubbi a proseguire la nostra collaborazione con Cybe, certi di avere al fianco un partner affidabile e all'avanguardia nel campo della cyber security.

Questa testimonianza ti ha ispiratə?

CCM

Quali sono stati i benefici che le analisi effettuate le hanno portato?

La scelta di eseguire l’analisi “Red Teaming” nasce dalla necessità di affidare a terzi una verifica della postura aziendale in termini di cyber security, terzi che, seppur non direttamente coinvolti nelle attività implementative dei sistemi esistenti, siano conosciuti e competenti.
L’attività di verifica effettuata ha portato delle piacevoli conferme (il lavoro di formazione sul personale ha portato a reazioni affidabili sotto tutti i punti di vista), come si sono scoperte falle che non si pensava di dover gestire (porte aperte su router in gestione all’operatore che fornisce la connettività).
Oltre a questo sono emerse criticità su servizi gestiti da terzi, anche in questo caso si è sempre convinti che appaltare all’esterno lo si possa fare senza accertarsi della reale capacità del fornitore nel valutare in modo corretto anche l’ambito della sicurezza, dimenticando che i terzi si presentano con il nostro nome e che se gestiscono servizi business critical, il fatto che vengano messi in condizione di non essere fruiti, crea un forte danno aziendale sia in termini operativi che reputazionali.
Ultimo aspetto evidenziato riguarda i più sofisticati sistemi da gestione degli end point (EDR, XDR, ecc.) che “sulla carta” sembra che facciano cose “mirabolanti” (tutti oggi parlando di servizi in cloud gestiti dall’IA) ma a volte, alla prova dei fatti, si comportano come i normali “antivirus” da tutti definiti come obsoleti.
In conclusione ritengo che attività di questo tipo siano indispensabili per “mettersi alla prova” in un’ottica “zero trust”, la sicurezza la si fa tutti i giorni senza dimenticare nessun anello della catena perché anche il più remoto può contribuire a rendere vulnerabili i nostri sistemi quindi la nostra azienda.

Perché sceglierebbe di lavorare ancora con Cybe?

CyBe si è dimostrata una realtà dinamica fatta da persone entusiaste e competenti, il loro approccio alla sicurezza è critico e attento ai dettagli nell’ottica di far sì che ogni esperienza possa migliorare la tecnica di analisi successiva.

Questa testimonianza ti ha ispiratə?