Mirai ora attacca i router. In Italia 150.000 dispositivi a rischio

Dic 01, 2016 Marco Schiaffino Approfondimenti, Attacchi, Attacchi, In evidenza, Malware, News, RSS, Vulnerabilità, Vulnerabilità 2

Una nuova versione del worm sfrutta una vulnerabilità individuata nei router ZyXEL per comprometterli in remoto. 900.000 casi in Germania e in Italia ce ne sono 150.000 a rischio.

L’incubo della “Internet of Things” continua a togliere il sonno agli esperti di sicurezza. Ora ci si trova ad affrontare una nuova ondata di attacchi che prendono di mira i modem-router ADSL e l’Italia rischia di essere tra i paesi più esposti.

Tutto è cominciato due settimane fa, quando un ricercatore di sicurezza che si firma Kenzo ha scoperto una vulnerabilità nei router dell’Internet Provider (ISP) irlandese Eir.

Riassumendo, si tratta di una falla di sicurezza legata al sistema di controllo in remoto dei router, che mantiene aperta la porta 7547 e consente all’ISP di inviare comandi a tutti i router della sua rete tramite il protocollo TR-069.

Il problema è che una parte dei router in circolazione accettano anche i comandi di un protocollo simile ma più “invasivo” (TR-064) che permette di accedere con facilità all’interfaccia grafica di controllo del router stesso.

Nella ricerca, Kenzo si è limitato a prendere in esame i router ZyXEL D1000 dell’ISP irlandese (circa 65.000) che risultavano vulnerabili, ma il problema non è limitato al paese britannico.

Secondo le stime degli esperti, infatti, nel mondo i dispositivi in ascolto sulla porta 7547 sarebbero circa 41 milioni e 5 milioni di questi sarebbero potenzialmente vulnerabili all’invio di comandi con il protocollo TR-064 e, di conseguenza, a rischio.

A seguito della segnalazione, Kenzo ha pubblicato anche un concept di exploit che permette di sfruttare la vulnerabilità. E qui sono cominciati i guai veri.

L’exploit per sfruttare la vulnerabilità è stato reso pubblico all’inizio di novembre.

A partire dallo scorso week-end, infatti, migliaia di utenti di Deutsche Telekom hanno cominciato a segnalare problemi di connessione e riavvii dei loro router. Stando a un comunicato dell’azienda, si tratterebbe di circa 900.000 dispositivi sui 20 milioni attivi sul territorio tedesco.

Ma chi sta portando questo attacco? Degli autori, ovviamente, non si sa nulla. Lo strumento usato, però, è stato individuato: si tratta di una nuova versione di Mirai, il worm comparso alla fine di settembre usato dai pirati informatici per compromettere i dispositivi della Internet of Things (IoT) e controllarli in remoto per i loro scopi.

I device sono per lo più telecamere e videoregistratori digitali connessi a Internet, che hanno sistemi di sicurezza scarsi e possono essere facilmente trasformati in “dispositivi zombie” dai cyber-criminali.

Il fenomeno, come dimostra la cronaca, ha raggiunto dimensioni impressionanti: secondo le informazioni raccolte dagli esperti di sicurezza, ci sono in circolazione delle botnet (reti composte da dispositivi compromessi -ndr) composte da centinaia di migliaia di device.

Le botnet di questo tipo sono state usate recentemente per portare attacchi Distribute Denial of Service (DDoS) di una violenza inaudita, che hanno colpito singoli siti Web e intere aree geografiche, causando in alcuni casi malfunzionamenti e black-out di rete mai sperimentati prima.

Condividi l'articolo