La botnet Mirai apareci贸 en 2016 y en poco tiempo logr贸
infectar m谩s de 600 mil dispositivos IoT. La semana pasada
se supo acerca de la nueva versi贸n de Mirai, cuyo prop贸sito es servidores Linux con Hadoop. Descubrimos qu茅 vulnerabilidad usa el virus y c贸mo "cubrirlo".
/ Flickr / DJ Shin / CC BY-SAAlgunas palabras sobre Mirai
Mirai se hizo conocido por una serie de ataques de alto perfil. Uno estaba en el blog del periodista Brian Krebs despu茅s de publicar un art铆culo sobre ventas de botnets. El otro est谩 en el
gran proveedor de DNS Dyn , lo que caus贸 un mal funcionamiento en los servicios mundiales: Twitter, Reddit, PayPal, GitHub y muchos otros.
Para "capturar" dispositivos IoT, la botnet utiliz贸 una vulnerabilidad de contrase帽a d茅bil (los fabricantes los hicieron iguales para todos los dispositivos inteligentes). El malware monitore贸 Internet para detectar puertos telnet abiertos e ingres贸 por fuerza bruta los pares conocidos de inicio de sesi贸n y contrase帽a para acceder a la cuenta del propietario del dispositivo. Si tiene 茅xito, el dispositivo se convirti贸 en parte de la "red maliciosa".
A finales de 2016, los desarrolladores publicaron el
c贸digo fuente del virus en la red. Esto condujo a la aparici贸n de varias versiones m谩s de software malicioso, pero todos hicieron de su objetivo el dispositivo de Internet de las cosas. Hasta hace poco, ahora surgi贸 el gusano Mirai, que ataca los servidores Linux en los centros de datos.
Botnet "recluta" Linux
El informe sobre la nueva versi贸n de Mirai fue publicado por especialistas en seguridad de la informaci贸n en NETSCOUT. Se sabe que una botnet ataca servidores con el marco Apache Hadoop instalado. Como dicen los expertos en seguridad, los piratas inform谩ticos se sienten atra铆dos por el poder del hierro. Hadoop se utiliza en servidores inform谩ticos de alto rendimiento y algoritmos de aprendizaje autom谩tico. Una red de dispositivos productivos permitir谩 ataques DDoS m谩s destructivos.
La versi贸n de Mirai para Linux sigue pirateando sistemas con credenciales de f谩brica de telnet. Pero ahora el programa no necesita distinguir entre diferentes tipos de arquitecturas de dispositivos IoT, Mirai ataca solo servidores con procesadores x86.
Al mismo tiempo, la nueva botnet no instala malware en el dispositivo pirateado por s铆 solo. El gusano env铆a a los atacantes la direcci贸n IP de la m谩quina vulnerable y un par de nombre de usuario y contrase帽a para ello. Luego, los hackers instalan los bots DDoS manualmente.
驴Qu茅 vulnerabilidad se utiliza?
El malware aprovecha la vulnerabilidad del m贸dulo YARN, que es responsable de administrar los recursos del cl煤ster y programar tareas en Apache Hadoop, para infiltrarse en el servidor.
Si la configuraci贸n de YARN es incorrecta, el atacante
puede obtener acceso a la API REST interna del sistema a trav茅s de los puertos 8088 y 8090. Al conectarse de forma remota, un atacante puede agregar una nueva aplicaci贸n al cl煤ster. Por cierto, este
problema se conoce desde hace varios a帽os: se han publicado exploits de PoC en
ExploitDB y
GitHub .
Por ejemplo, el
siguiente c贸digo de explotaci贸n
se presenta en GitHub:
Adem谩s de Mirai, esta vulnerabilidad es utilizada por otro bot DDoS: DemonBot, que los especialistas de Radware descubrieron en octubre. Desde principios de oto帽o, han registrado m谩s de un mill贸n de intentos de pirater铆a a trav茅s de la vulnerabilidad YARN diariamente.
Lo que dicen los expertos
Seg煤n los expertos en seguridad de la informaci贸n, la mayor铆a de los intentos fueron pirateados en Estados Unidos, Gran Breta帽a, Italia y Alemania. A principios de mes, m谩s de mil servidores en todo el mundo se vieron afectados por vulnerabilidades en YARN. Esto no es mucho, pero todos tienen un alto poder de c贸mputo.
Tambi茅n hay informaci贸n de que una vulnerabilidad en Hadoop podr铆a proporcionar a los atacantes acceso a los datos almacenados en servidores inseguros. Hasta el momento, no se han reportado tales casos, pero los expertos
advierten que esto es solo cuesti贸n de tiempo.
La nueva versi贸n de Mirai no se est谩 extendiendo r谩pidamente: todos los d铆as solo hay varias decenas de miles de intentos de descifrar las m谩quinas Hadoop a trav茅s de YARN. Adem谩s, todos los ataques provienen de una peque帽a cantidad de direcciones IP, no m谩s de cuarenta.
/ Flickr / Jelene Morris / CC BYTal comportamiento de los atacantes llev贸 a los especialistas de NETSCOUT a la idea de que el virus no se propaga autom谩ticamente: los hackers escanean manualmente Internet e implementan el programa en m谩quinas desprotegidas. Esto significa que los propietarios de servidores con Hadoop instalado tienen m谩s tiempo para cerrar la vulnerabilidad.
Para protegerse contra los ataques,
debe cambiar la configuraci贸n de seguridad de
la red. Es suficiente para los administradores restringir el acceso al cl煤ster inform谩tico: para configurar filtros IP o cerrar completamente la red de usuarios y aplicaciones externos.
Para evitar el acceso no autorizado al sistema, los expertos en seguridad tambi茅n recomiendan actualizar Hadoop a la versi贸n 2.xy habilitar la autenticaci贸n a trav茅s del protocolo Kerberos.
Varias publicaciones del blog VAS Experts:
Un par de materiales frescos de nuestro blog sobre Habr茅: