يقوم مجرمو الإنترنت باختطاف أجهزة التوجيه ثم استخدامها لبيع خدمات إخفاء الهوية والوكلاء وتنظيم هجمات DDoS. علاوة على ذلك ، تقاتل العديد من شبكات الروبوت من أجل امتلاك أجهزة الزومبي. يكشف بحث جديد من Trend Micro عن كيفية سير هذه الحرب ، وفي هذا المنشور سنشارك أهم التفاصيل.
وفقًا للخبراء ، في عام 2020 ، سيتجاوز عدد أجهزة إنترنت الأشياء المتصلة بالإنترنت 31 مليار قطعة . يحتوي كل جهاز على نظام تشغيل مع مكدس شبكة ومجموعة من البرامج لأداء المهام الأساسية. أكثر أجهزة إنترنت الأشياء وظيفية هي أجهزة التوجيه. عادةً ما تكون البرامج الثابتة الخاصة بهم عبارة عن إصدار خفيف الوزن من Linux ونادرًا ما يتم تحديثه بواسطة مالكي الأجهزة. يتم ترك العديد من الأجهزة بكلمة مرور يوفرها البائع ، والتي ، جنبًا إلى جنب مع نقاط الضعف التي لم يتم تصحيحها في نظام Linux القديم ، تجعل أجهزة التوجيه مثالية للاختراق والاتصال بشبكة الروبوتات.
لماذا هناك حاجة إلى botnets
يمكن استخدام جيش من عشرات الآلاف من الأجهزة لأغراض مختلفة. الأكثر شيوعًا هي الخوادم الوكيلة المجهولة وهجمات DDoS. يسمح لك هذان الاتجاهان بالحصول على دخل جاد من خلال تحقيق الدخل المناسب. كلما زاد عدد الأجهزة التي تمتلكها الشبكة ، زادت القوة الكامنة التي تمتلكها وزادت الأموال التي تجلبها لأصحابها. لذلك ، يتنافس مجرمو الإنترنت لاختطاف أكبر عدد ممكن من أجهزة التوجيه.
كيف تحدث العدوى
تُظهر البيانات التي تم جمعها أن أكبر عدد من الإصابات يحدث باستخدام هجمات القوة الغاشمة وفتح منافذ telnet.
يتم تنفيذ هجمات القوة الغاشمة المباشرة باستخدام برنامج نصي خاص وهي فعالة للغاية ، نظرًا لأن العديد من أجهزة التوجيه تتصل بالإنترنت بكلمة مرور افتراضية. يمكن أن تكون القوة الغاشمة لكلمة المرور إحدى وظائف الروبوتات ، لذا فإن التقاط الأجهزة الجديدة سريع جدًا.
عدد هجمات القوة الغاشمة على أجهزة التوجيه في 2019-2020. المصدر (المشار إليه فيما يلي ، ما لم يُذكر خلاف ذلك): Trend Micro
وفقًا للقياس عن بُعد لـ Trend Micro ، زادت محاولات القوة الغاشمة لتسجيل الدخول إلى أجهزة التوجيه بشكل مطرد في عام 2019. في البداية ، كان النمو تدريجيًا ، لكن منذ أكتوبر ، ارتفعت الأرقام بشكل حاد.
الأداة الثانية الأكثر شيوعًا لتوسيع نطاق شبكات إنترنت الأشياء هي اختراق بروتوكول telnet. على الرغم من عدم استخدام telnet على نطاق واسع اليوم كما كان في الماضي ولا يوصى باستخدامه حتى ، لا تزال العديد من أجهزة إنترنت الأشياء تستخدمه لتوفير الوصول عن بُعد. جلسات Telnet غير مشفرة ، مما يسهل على المهاجم أو الروبوتات اعتراض بيانات اعتماد المستخدم والمعلومات الأخرى. نتيجة لذلك ، يمكن للبوت نت استخدام البيانات التي تم الحصول عليها من بروتوكول telnet لمزيد من التوسع.
محاولة فتح جلسة telnet مع أجهزة أخرى ليس سلوكًا عاديًا لجهاز التوجيه وقد يشير إلى محاولة إصابة. في بحثنا ، استخدمنا هذا المقياس كمؤشر لعدد أجهزة التوجيه المصابة.
بيانات القياس عن بعد Trend Micro من يوليو 2019 إلى أبريل 2020. الأشرطة السوداء - عدد محاولات اتصال telnet ، رسم بياني أزرق - مصادر هذه المحاولات
في ذروتها ، كانت مصادر حركة البيانات الخبيثة تصل إلى 16 ألف جهاز في الأسبوع ، وبعد ذلك انخفض هذا الرقم ، والذي تزامن مع الإغلاق الجزئي لإحدى أقوى شبكات الروبوت ، DoubleGuns .
وجدنا أن هناك ثلاثة قواعد أكواد للشبكات الروبوتية الرئيسية الأكثر استخدامًا من قبل مجموعات الإنترنت وأطفال البرامج النصية: Mirai و Kaiten و QBot. أكوادهم متاحة للجمهور ، لذلك يمكن لأي محتال خبير في التكنولوجيا بسهولة تنزيل الكود وتعديله وإعادة تجميعه لاختطاف أجهزة التوجيه لإنشاء الروبوتات. وبالتالي ، فإن رموز هذه الروبوتات الثلاثة هي الأسلحة الإلكترونية الرئيسية في الحرب المستمرة على أجهزة التوجيه.
ميراي
هذا هو الرمز الأكثر استخدامًا لإنشاء شبكات الروبوت. تم إطلاق ميراي في نهاية عام 2016 ، وغيرت على الفور مشهد تهديدات إنترنت الأشياء. تم إنشاء Mirai كأداة هجوم DDoS.
كان هجوم Mirai الأول هجومًا على خوادم ألعاب Minecraft التي يستضيفها مزود خدمة الإنترنت OVH. كانت قوة الهجوم ، التي بدأت في 19 سبتمبر 2016 ، 799 جيجابت في الثانية. تتألف شبكة الروبوتات من 145000 جهاز.
عرض آخر لقدرات الروبوتات هو هجوم DDoS بسرعة 665 جيجابت في الثانية على موقع كريبس على الأمن في 20 سبتمبر 2016. لم يستطع مزود خدمة CDN Akamai التعامل مع الهجوم ، وقام ببساطة بتعطيل الموقع ، والذي انتهى به الأمر "بالكذب" لمدة أربعة أيام. استمر الهجوم نفسه 77 ساعة وشمل 24000 جهاز توجيه مختطف.
كانت أكبر حملة ميرايهجوم 12 أكتوبر 2016 على مزود DNS Dyn ، الذي قدم خدمات إلى Netflix و Reddit و Twitter وشركات أخرى. وبحسب الخبراء ، فاقت قوة الهجوم قدرات جميع الحلول الأمنية المتاحة. في ذلك الوقت ، كان هناك أكثر من 11 مليون جهاز في ميراي.
غيّر إصدار شفرة مصدر ميراي العالم إلى الأبد. اتضح أن فرصة إنشاء نادي DDoS لنفسه للقضاء على المنافسين واستئجاره كانت جذابة للغاية لدرجة أن العديد من شوكات Mirai ظهرت على الفور بقدرات إضافية في شكل استخدام عمليات استغلال إضافية لاختراق أجهزة التوجيه ، بالإضافة إلى رمز لإزالة الأجهزة المخترقة من المنافسين.
أجزاء من كود ميراي لتدمير أنمي البرمجيات الخبيثة المنافسة. هنا تستخدم Mirai وظيفة نظام Linux kill () لإرسال إشارة SIG_KILL (9) إلى العمليات المتنافسة.
كايتن / تسونامي
هذه الروبوتات ليست معروفة مثل Mirai ، على الرغم من أنها يمكن اعتبارها واحدة من أقدم الشبكات. كانت مصادره في المجال العام منذ عام 2001. يتم التفاعل مع خوادم التحكم باستخدام بروتوكول IRC (Internet Relay Chat). تتم كتابة عناوين الخادم في كود مصدر Kaiten ، والذي يمكن تجميعه لبنى SH4 و PowerPC و MIPSel و MIPS و ARM.
يتم إجراء البحث عن الأجهزة وإصابتها باستخدام برنامج نصي من Python يبحث عن منافذ telnet المفتوحة ثم يحاول الاتصال بها ، باستخدام كلمات مرور شديدة التأثير. تبدأ القوة الغاشمة بكلمات المرور الأكثر شيوعًا الموجودة في نص البرنامج النصي: قائمة بكلمات المرور الأكثر شيوعًا والأكثر
أمانًا في نص برنامج Kaiten النصي
وقد أدى إصدار الكود المصدري أيضًا إلى ظهور العديد من التفرع ، والتي تتضمن أحدث إصداراتها أيضًا ميزة "bot killer" التي تنظف الجهاز الذي تم اختراقه من المنافسين.
مؤلفو Kaiten Fork يتفاخرون بميزة Botkilling في المنتديات
Qbot
ظهرت هذه الروبوتات في مجال المعلومات في عام 2008. يتكون كود المصدر الخاص به من ملفات قليلة فقط. يعود الإعداد الكامل إلى تحرير المصادر ، لذلك لا تحظى هذه الروبوتات بشعبية كبيرة بين المبتدئين. في منتديات الجرائم الإلكترونية ، يمكنك غالبًا العثور على مواضيع يطلب فيها المبتدئون النصيحة حول إعداد الروبوتات هذه.
يدعم Qbot أيضًا العديد من هياكل الأجهزة ، ويتصل بخوادم الإدارة عبر TCP ، دون الاعتماد على بروتوكولات ذات مستوى أعلى.
مقتطف رمز QBot الذي يحتوي على سلاسل معرف للبرامج الضارة المنافسة
يعتبر Qbot أيضًا غير متسامح مع المنافسين. تحتوي إحدى مفترقاتها على 438 اسم عمليات منافسة ، بما في ذلك ميراي وكايتن.
تأثيرات
يمكن للمهاجمين استخدام أدوات مختلفة للتغلب على أكبر عدد ممكن من أجهزة التوجيه ، بما في ذلك تلك الموجودة بالفعل في أيدي المنافسين. يتم استخدام أجهزة التوجيه المصابة لأغراض مختلفة ، من بيع الخدمات القائمة على أجهزة التوجيه المصابة إلى مهاجمة "الأعداء" ، على سبيل المثال ، على موارد مجموعات أخرى أو على خوادم منافسة.
لا يعرف مستخدمو الإنترنت العاديون أن هذه الحرب تحدث في منازلهم ، ولا يعرفون كيف تؤثر عليهم ، مما يجعل هذه المشكلة أكثر خطورة. يجب على مالكي أجهزة التوجيه الاهتمام بأمن أجهزتهم واتصالات الإنترنت ، وإلا فإنهم يخاطرون بأن يصبحوا ضحايا لمجرمي الإنترنت. هذه المشكلة صحيحة بشكل خاص عندما يعمل العديد من الموظفين عن بعد من المنزل.
توصيات الحماية
نوصي بأن يقوم متخصصو تكنولوجيا المعلومات بالتحقق من حالة أجهزة التوجيه "التابعة" مرة واحدة على الأقل كل ثلاثة أشهر باستخدام قائمة التحقق هذه:
- تحقق من سجلات جهاز التوجيه بحثًا عن سلوك غير عادي وحسابات غريبة وحالات شاذة أخرى ؛
- تأكد من أن جهاز التوجيه يحتوي على أحدث البرامج الثابتة ؛
- استخدم كلمة مرور قوية وقم بتغييرها من وقت لآخر ؛
- الحد من عدد محاولات إدخال كلمة المرور الخاطئة ، إذا كانت البرامج الثابتة تسمح بذلك ؛
- قم بتعطيل telnet في جهاز التوجيه ، واسمح فقط بتسجيل الدخول من الشبكة المحلية.
نشجع أيضًا موظفي تكنولوجيا المعلومات على مساعدة العاملين عن بُعد في تأمين أجهزة التوجيه المنزلية الخاصة بهم.
من بين حلول Trend Micro ، جهاز Trend Micro Home Network Security. يفحص حركة مرور الإنترنت بين جهاز التوجيه والشبكة المنزلية ، ويساعد المستخدمين أيضًا على تقييم نقاط الضعف في الأجهزة المتصلة بالشبكة. يساعد هذا الحل في منع الروبوتات من اختطاف الأجهزة في الحرب ، حيث تكون أجهزة التوجيه هي ساحة المعركة وجوائز مالية للفوز بها.