Tengu, наскоро забелязан ботнет, базиран на Mirai, прави инфектираните IoT устройства много по-трудни за почистване. Той е насочен към достъпни през интернет вградени Linux системи, по-специално устройства, които оставят Telnet или други услуги за отдалечено администриране изложени.
Веднъж инсталиран, този зловреден код може да поддържа устройството достъпно за злонамерена дейност и да превърне рутинния опит за премахване в оперативен проблем.
Заплахата следва познатия модел на Mirai, като търси слабо защитени свързани устройства, но добавя по-силни предпазни мерки срещу намеса.
Рутери, камери, цифрови видеорекордери (DVR) и други системи с ниска поддръжка могат да бъдат атрактивни цели, тъй като често са изложени онлайн, работят с остарял фърмуер или все още използват идентификационни данни по подразбиране.
Подобни заплахи многократно са показвали как уязвимостите в рутерите от ботнета Mirai могат да изложат на риск ежедневното мрежово оборудване.
Изследователи от Nozomi идентифицираха необичайната способност на този зловреден код да рестартира IoT устройство, когато някой се опита да прекрати неговия злонамерен процес.
От Nozomi заявяват в доклад, споделен с Cyber Security News (CSN), че Tengu е проектиран да се съпротивлява на премахването и да поддържа достъп след компрометиране.
Това поведение увеличава риска за организации, които приемат, че рестартирането на устройството е достатъчно за премахване на инфекцията. Рестартирането може да прекъсне наблюдението, комуникациите или бизнес процесите, като същевременно даде на администраторите фалшиво усещане, че устройството е изчистено.
Констатацията също така подчертава защо защитата на IoT устройства от атаки на ботнети изисква нещо повече от просто изключване и включване на оборудването.
Tengu наблюдава собственото си състояние на работа и проверява дали кодът му е бил променен.
Зловредният код чете информация за картографирането на паметта от файловата система proc на Linux, изчислява базова SHA-256 стойност за част от своя код и многократно сравнява резултата, за да идентифицира подправяне.
Той също така проверява за картографиране на памет с права за запис, което може да показва дейност по анализ или модификация.
Когато ботът открие, че оператор се е опитал да го спре или промени, той може да задейства рестартиране на заразеното устройство.
Тази реакция може да премахне временните следи от неуспешния опит за реакция и да затрудни лицето, опитващо се да извърши почистването. Това също означава, че реагиращите на инциденти могат да загубят достъп до нестабилни доказателства (в оперативната памет), ако не ги съберат преди да предприемат действия.
Методите за осигуряване на постоянство на зловредния код добавят още едно ниво на трудност. Защитниците, разследващи засегната система, трябва да проверят услугите на systemd, скриптовете за стартиране (init), конфигурационните файлове на обвивката (shell) и планираните задачи в cron, преди да върнат устройството в експлоатация.
Този подход е важен, тъй като други Linux ботнети са използвали systemd и планирани задачи за запазване на достъпа след първоначалното компрометиране.
Tengu застрашава предимно изложени на интернет IoT и вградени Linux устройства, особено тези с Telnet или ненужни административни услуги, достъпни извън мрежата. Атакуващите могат да експлоатират лоши практики за управление на пароли и слабо управление на устройствата, за да получат достъп. По-старото мрежово оборудване остава особено изложено, както се вижда при случаи с уеб камери и DVR устройства, насочени чрез уязвими услуги.
Организациите трябва да намалят публичното излагане навсякъде, където е възможно, да деактивират неизползвания отдалечен достъп и да заменят фабрично зададените пароли със силни, уникални идентификационни данни.
Фърмуерът трябва да се поддържа актуален, докато IoT устройствата трябва да бъдат изолирани от критичните корпоративни мрежи, за да се ограничи ефектът от компрометиране. Тези мерки могат да намалят както възможностите за първоначален достъп, така и вероятността за странично движение (lateral movement).
Екипите по сигурността трябва също да следят за неочаквани изходящи връзки, мрежов трафик, наподобяващ прокси сървър, странни имена на процеси и услуги, които се представят за легитимни системни компоненти.
Прегледът на местата за осигуряване на постоянство преди възстановяване на засегнато устройство е от съществено значение, особено след като модерните ботнети могат да комбинират дългосрочен достъп с възможности за DDoS атаки или прокси функции.
Последните доклади за еволюцията на DDoS атаките от ботнета Mirai илюстрират по-широките оперативни рискове, свързани с големи IoT ботнети.