¿Cómo funciona Mirai?
Mirai es un ejemplo de malware botnet. El malware botnet infecta una computadora y abre un canal de comando y control (C2) a la infraestructura C2 de un atacante. Esto permite al atacante enviar comandos al malware botnet, que los ejecuta utilizando los recursos de la máquina infectada. En muchos dispositivos infectados, las botnets pueden realizar ataques automatizados a gran escala, como DDoS o relleno de credenciales.
Mirai es una forma de malware que se dirige específicamente a dispositivos de IoT, aprovechando el estado relativamente pobre de la Seguridad de IoT. De hecho, Mirai aprovecha el hecho de que muchos de estos dispositivos se implementan con sus nombres de usuario y contraseñas débiles y predeterminados. Con una breve lista de nombres de usuario y contraseñas predeterminados para varios dispositivos de IoT, Mirai pudo iniciar sesión a través de Telnet e instalarse en cientos de miles de dispositivos de IoT en su apogeo.
El malware botnet también suele estar diseñado para propagarse solo. En el caso de Mirai, su principal vector de infección fue iniciar sesión en un dispositivo de IoT vulnerable mediante Telnet. Como resultado, los bots Mirai realizaron análisis periódicos en busca de objetivos vulnerables accesibles a través de Telnet y entregaron el malware a cualquiera que identificaran.
¿Cómo se usa Mirai?
Las botnets se pueden usar para una variedad de propósitos diferentes. Cualquier ataque que pueda automatizarse, como un ataque DDoS o un ataque de relleno de credenciales, puede ampliarse significativamente si cientos o miles de bots lo realizan en paralelo.
Mirai es un ejemplo de una botnet que se especializa en ataques DDoS. En los primeros días, se usaba para realizar ataques DDoS contra servidores de Minecraft con el propósito de extorsión. Desde entonces, Mirai se ha utilizado para realizar ataques de alto perfil contra una variedad de organizaciones diferentes. Un ataque de alto perfil contra Dyn, un perfil DNS ampliamente utilizado, resultó en que una parte significativa de Internet fuera inaccesible durante la duración del ataque.
La aplicación de Mirai se amplió drásticamente cuando su código fuente se filtró públicamente en septiembre de 2016. Con acceso al código fuente, otros ciberdelincuentes podrían adaptar el malware botnet de gran éxito para crear sus propios botnets. Esto incluye configurar el malware para que apunte a su propia infraestructura C2, lo que le permite dirigir sus ataques, o agregar capacidades adicionales, como nuevos mecanismos o capacidades de infección, como realizar relleno de credenciales, criptojacking u otros ataques automatizados.
La amenaza de Mirai
Mirai plantea múltiples amenazas a organizaciones e individuos. El primero se origina en el propósito principal de la botnet Mirai, que es realizar ataques DDoS. Una botnet masiva dirigida a un servicio con un ataque DDoS tiene una alta probabilidad de derribar ese servicio a menos que cuente con sólidas protecciones anti-DDoS.
La amenaza Mirai se vio exacerbada por la filtración pública de su código fuente. Varias botnets IoT modernas son descendientes de Mirai que modifican el código fuente para cumplir con los objetivos de sus propietarios. Estas botnets representan una gama más amplia de amenazas para las organizaciones, ya que pueden usarse para el relleno de credenciales, el cryptojacking y otros ataques más allá de las campañas DDoS.
Finalmente, Mirai representa una amenaza para los propietarios de dispositivos DDoS vulnerables. El malware utiliza la potencia computacional y el ancho de banda de la red de estos dispositivos para realizar ataques DDoS. Sin embargo, su acceso a estos sistemas también podría ser abusado para espiar o realizar otros ataques contra sus dueños.
Cómo protegerse contra el malware Mirai Botnet
Mirai, como muchas otras botnets, se aprovecha de las debilidades en la seguridad del dispositivo de IoT. Algunas de las mejores prácticas para protegerse contra Mirai y sus descendientes incluyen las siguientes:
- Cambiar contraseñas: Mirai utiliza una lista de nombres de usuario y contraseñas predeterminados para acceder al dispositivo de IoT. Antes de implementar un dispositivo de IoT, cambie la contraseña o desactive las cuentas predeterminadas.
- Actualizar dispositivo: algunos malware botnet aprovechan la vulnerabilidad en el dispositivo de IoT para infectarlos. La aplicación oportuna de actualizaciones y parches puede cerrar estos intervalos de seguridad antes de que sean explotados por malware de botnet.
- Segmentación de red: Los dispositivos de IoT vulnerables representan un riesgo de seguridad para las organizaciones que los poseen. Segmentar el dispositivo de IoT del resto de la red puede ayudar a evitar que un atacante los utilice como vector de acceso.
Protección contra malware Mirai con Check Point
Mirai y otras botnets DDoS representan un riesgo significativo para la disponibilidad de servicios y sistemas corporativos. Un ataque DDoS a gran escala contra una organización puede abrumarla con más tráfico del que puede manejar, lo que hace que no esté disponible para los usuarios legítimos.
Quantum DDoS Protector de Check Point permite a las empresas filtrar el tráfico DDoS a escala, bloqueando los ataques DDoS y permitiendo a los usuarios legítimos acceder a recursos y servicios corporativos. Para obtener más información sobre la exposición de su organización a ataques automatizados, realice el análisis gratuito del analizador de bots DDoS de Check Point.
Comentarios