Credit image: Pixabay
Belakangan diketahui bahwa malware DDoS Mirae incar router, ancaman ini bukan sekedar ancaman kosong belaka karena malware tersebut sudah dibekali dengan beberapa fitur pendukung.
Botnet malware berbasis DDoS (distributed denial of service) Mirai yang dilacak sebagai IZ1H9 telah menambahkan tiga belas muatan baru untuk menargetkan router berbasis Linux dan router dari D-Link, Zyxel, TP-Link, TOTOLINK, dan lainnya.
Peneliti melaporkan mengamati puncak tingkat eksploitasi sekitar minggu pertama bulan September, mencapai puluhan ribu upaya eksploitasi terhadap perangkat yang rentan.
IZ1H9 mengkompromikan perangkat untuk memasukkannya ke gerombolan DDoS dan kemudian meluncurkan serangan DDoS pada target tertentu, mungkin atas perintah klien yang menyewa senjatanya.
|
Baca juga: Melindungi Router dari Ancaman |
Target IoT
Semakin banyak perangkat dan kerentanan yang ditargetkan oleh malware DDoS, semakin besar potensi untuk membangun botnet yang besar dan kuat yang mampu memberikan serangan besar-besaran terhadap situs web.
Dalam kasus IZ1H9, dilaporkan bahwa mereka menggunakan eksploitasi untuk kelemahan berikut, mulai dari tahun 2015 hingga 2023:
-
Perangkat D-Link: CVE-2015-1187, CVE-2016-20017, CVE-2020-25506, CVE-2021-45382
-
Netis WF2419: CVE-2019-19356
-
Sunhillo SureLine (versi sebelum 8.7.0.1.1): CVE-2021-36380
-
Produk Geutebruck: CVE-2021-33544, CVE-2021-33548, CVE-2021-33549, CVE-2021-33550, CVE-2021-33551, CVE-2021-33552, CVE-2021-33553, CVE-2021-33554
-
Manajemen Perangkat Yealink (DM) 3.6.0.20: CVE-2021-27561, CVE-2021-27562
-
Zyxel EMG3525/VMG1312 (sebelum V5.50): CVE tidak ditentukan tetapi menargetkan kerentanan komponen /bin/zhttpd/ perangkat Zyxel
-
TP-Link Archer AX21 (AX1800): CVE-2023-1389
-
AP nirkabel Korenix JetWave: CVE-2023-23295
-
Router TOTOLINK: CVE-2022-40475, CVE-2022-25080, CVE-2022-25079, CVE-2022-25081, CVE-2022-25082, CVE-2022-25078, CVE-2022-25084, CVE-2022-25077 , CVE-2022-25076, CVE-2022-38511, CVE-2022-25075, CVE-2022-25083
Operasi ini juga menargetkan CVE yang tidak ditentukan terkait dengan rute “/cgi-bin/login.cgi”, yang berpotensi memengaruhi router Prolink PRC2402M.
|
Baca juga: Ratusan Ribu Mikrotik RouterOS Berisiko |
Rantai Serangan
Setelah mengeksploitasi salah satu CVE yang disebutkan di atas, muatan IZ1H9 dimasukkan ke dalam perangkat yang berisi perintah untuk mengambil pengunduh skrip shell bernama “l.sh” dari URL tertentu.
Setelah dijalankan, skrip menghapus log untuk menyembunyikan aktivitas jahat, dan selanjutnya, skrip mengambil klien bot yang disesuaikan untuk arsitektur sistem berbeda.
Terakhir, skrip memodifikasi aturan iptables perangkat untuk menghalangi koneksi pada port tertentu dan mempersulit penghapusan malware dari perangkat.
Setelah melakukan semua hal di atas, bot menjalin komunikasi dengan server C2 (perintah dan kontrol) dan menunggu perintah dijalankan.
Perintah yang didukung berkaitan dengan jenis serangan DDoS yang akan diluncurkan, termasuk UDP, UDP Plain, HTTP Flood, dan TCP SYN.
Dilaporkan juga bahwa IZ1H9 menampilkan bagian data dengan kredensial hardcode yang digunakan untuk serangan brute force.
Serangan-serangan ini mungkin berguna untuk propagasi ke perangkat yang berdekatan atau mengautentikasi ke IoT yang eksploitasinya tidak berfungsi.
Pemilik perangkat IoT disarankan untuk menggunakan kredensial pengguna admin yang kuat, memperbaruinya ke versi firmware terbaru yang tersedia, dan, jika memungkinkan, mengurangi paparan mereka ke internet publik.
Sumber berita:
