سوءاستفاده بات‌نت از اختلال گسترده آمازون برای حمله به ۲۸ کشور

یک بات‌نت تازه‌نفس از خانواده میرای، از اختلال AWS برای آلوده‌سازی تجهیزات IoT در سراسر جهان بهره برد؛ حمله‌ای کوتاه اما هشداردهنده که ضعف امنیتی دستگاه‌های متصل را بار دیگر یادآوری کرد.

به گزارش افتانا، بات‌نت ShadowV2، مبتنی بر Mirai ، در جریان اختلال گسترده سرویس‌های AWS در ماه اکتبر، فعال شد و با آلوده‌سازی دستگاه‌های اینترنت اشیا در صنایع و قاره‌های مختلف، عملیاتی انجام داد که به گفته آزمایشگاه‌های FortiGuard شرکت فورتینت احتمالاً آزمایشی برای حملات آینده بوده است.

این بدافزار پس از آلوده‌کردن تجهیزات آسیب‌پذیر و تبدیل آنها به یک ارتش زامبی از دستگاه‌های IoT، به مهاجم امکان کنترل از راه دور این شبکه و اجرای حملات بزرگ‌مقیاس از جمله حملات DDoS را می‌دهد. البته ShadowV2 تنها در مدت اختلال یک‌روزه AWS فعال بود؛ اختلالی که بسیاری از وب‌سایت‌های بزرگ را نیز برای چندین ساعت از دسترس خارج کرد. اما در همین مدت کوتاه، این بدافزار از چندین آسیب‌پذیری مربوط به دستگاه‌های برندهای مختلف سوءاستفاده کرده است؛ از جمله DD-WRT (CVE-2009-2765)، دی‌لینک (CVE-2020-25506، CVE-2022-37055، CVE-2024-10914، CVE-2024-10915)، DigiEver (CVE-2023-52163)، TBK (CVE-2024-3721) و تی‌پی‌لینک. (CVE-2024-53375)

ShadowV2 که پیش‌تر در کارزارهای ماه سپتامبر،دستگا‌ه‌های AWS EC2 را هدف گرفته بود، این‌بار بخش‌های مختلفی از جمله فناوری، خرده‌فروشی و هتل‌داری، تولید، ارائه‌دهندگان خدمات امنیتی مدیریت‌شده، دولت، مخابرات و اپراتورها و آموزش را تحت تأثیر قرار داده و به ۲۸ کشور حمله کرده است: کانادا، آمریکا، مکزیک، برزیل، بولیوی، شیلی، بریتانیا، هلند، بلژیک، فرانسه، چک، اتریش، ایتالیا، کرواسی، یونان، مراکش، مصر، آفریقای جنوبی، ترکیه، عربستان سعودی، روسیه، قزاقستان، چین، تایلند، ژاپن، تایوان، فیلیپین و استرالیا.

Fortinet هنوز تعداد دقیق دستگاه‌های آلوده را اعلام نکرده است. طبق گزارش این شرکت، مهاجمان با سوءاستفاده از حفره‌های امنیتی، یک اسکریپت دانلودکننده (binary.sh) را روی دستگاه‌ها مستقر کرده و از طریق آن بدافزار ShadowV2 را با فایل‌هایی با پیشوند “shadow” از آدرس 81[.]88[.]18[.]108 منتقل می‌کنند. این بات‌نت از لحاظ عملکرد مشابه گونه LZRD از خانواده Mirai است: پیکربندی رمزگذاری‌شده با XOR را مقداردهی اولیه می‌کند و سپس به یک سرور فرماندهی و کنترل متصل می‌شود تا دستورها و حملات DDoS را دریافت و اجرا کند. در زمان اجرا، این رشته نمایش داده می‌شود: ShadowV2 Build v1.0.0 IoT version. به گفته کارشناسان، این رشته نشان می‌دهد که این شاید نخستین نسخه توسعه‌یافته ShadowV2 برای دستگاه‌های IoT باشد.

در حالی‌که فعالیت این بدافزار فعلاً تنها در مدت قطعی AWS مشاهده شده، کارشناسان امنیتی می‌گویند ظهور آن، هشدار مهمی است برای ایمن‌سازی دستگاه‌های IoT، به‌روزرسانی سفت‌افزار و نظارت بر ترافیک مشکوک. ShadowV2 نشان می‌دهد دستگاه‌های IoT همچنان حلقه ضعیف زنجیره امنیت سایبری هستند.

از سوی دیگر، اندکی پس از این حمله آزمایشی ShadowV2، مایکروسافت اعلام کرد که سرویس Azure با «بزرگ‌ترین حمله DDoS ابری تاریخ» مواجه شده‌است؛ حمله‌ای با منشاء بات‌نت Aisuru و حجمی معادل ۱۵.۷۲ ترابیت بر ثانیه. سامانه محافظت از DDoS مایکروسافت موفق شد این ترافیک عظیم حدود ۳.۶۴ میلیارد بسته در ثانیه را در ۲۴ اکتبر دفع کند و طبق اعلام شرکت، هیچ‌یک از سرویس‌های مشتریان دچار اختلال نشدند.