Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Lazarus ha colpito alcune compagnie europee del settore della difesa
Arriva “Zyxel Commercialisti Italia”, iniziativa per educare i professionisti alla cybersecurity
Cyberattacchi: estorsioni e ransomware dietro la metà delle campagne malevole
Centinaia di estensioni Chrome sfruttate in una campagna di spam
CERT-AGID 11–17 ottobre: PagoPA, MAECI e le amministrazioni regionali tra i bersagli della settimana

Mirai ora attacca i router. In Italia 150.000 dispositivi a rischio

Dic 01, 2016 Marco Schiaffino Approfondimenti, Attacchi, Attacchi, In evidenza, Malware, News, RSS, Vulnerabilità, Vulnerabilità 2

Nuovo attacco

Adesso la nuova versione del worm prende di mira i router, utilizzando proprio la vulnerabilità scoperta in Irlanda da Kenzo. I cyber-criminali, quindi, potrebbero arruolare milioni di nuovi dispostivi nelle loro botnet che potrebbero essere usati per ulteriori attacchi DDoS.

Come ci conferma Stefano Lamonato di FireEye, i router di Deutsche Telekom non sarebbero vulnerabili (o almeno non del tutto) all’attacco. Quella della società tedesca sarebbe una sorta di posizione intermedia: i dispositivi non possono essere infettati dal malware, ma subirebbero comunque delle conseguenze dall’attacco, subendo un flood che blocca la connessione.

I router di Deutsche Telekom vanno in crash in seguito all’attacco, ma non sembrano essere vulnerabili al malware.

Anche se i danni provocati in Germania sono quindi limitati, non è detto che altri paesi siano così fortunati. Il malware, infatti, si diffonde automaticamente su Internet e il percorso che seguirà è imprevedibile.

Stando a quanto riportato da BadCyber, l’attacco userebbe due tecniche diverse: una pensata per colpire dispositivi generici (videocamere e DVR) usando tre combinazioni di username e password predefinite.

La seconda, invece, prende di mira i router utilizzando la vulnerabilità della porta 7547 e usando tre diversi file progettati per colpire dispositivi con diverse architetture (due basate su MIPS, una su ARM), andando in buona sostanza a tentativi.

Nel caso dei router, una volta infettato il dispositivo Mirai esegue due comandi che, paradossalmente, chiudono la vulnerabilità: il primo (busybox iptables -A INPUT -p tcp –destination-port 7547 -j DROP) chiude la porta 7547, mentre il secondo (busybox killall -9 telnetd) disattiva il servizio telnet.

L’obiettivo di questa strategia è semplice: impedire al provider di accedere e installare in remoto un aggiornamento che possa correggere la vulnerabilità.

La buona notizia è che il malware è residente solo in memoria. Questo significa che, per rimuoverlo, è sufficiente riavviare il dispositivo.

Deutsche Telekom sta distribuendo in remoto un aggiornamento che risolve il problema e invita pertanto i suoi clienti a spegnere il loro router e riavviarlo dopo circa 30 secondi, in modo che l’eventuale malware sia rimosso (con il riavvio) e l’aggiornamento sia installato alla riaccensione del dispositivo.

Condividi l'articolo