Katana : une nouvelle variante du botnet Mirai

L’équipe de recherche IoT d’Avira a récemment identifié une nouvelle variante du botnet Mirai. Elle a reçu le nom de « Katana », d’après le sabre japonais.

Bien que le botnet Katana soit en cours de développement, il s’appuie déjà sur des modules permettant des attaques DDoS de la couche 7, différentes clés de chiffrement pour chaque source, une autoréplication rapide et un C&C sécurisé. Des indices laissent à penser que Katana pourrait à l’avenir être associé à un botnet de banque en ligne HTTP.

Nous avons précédemment examiné comment Mirai, un botnet IoT, a évolué depuis la publication de son code source. Une analyse récente des attaques IoT et des tendances des logiciels malveillants montre que son évolution se poursuit. Il est ainsi possible d’acheter, de vendre ou de se procurer des variantes de Mirai sur des chaînes YouTube, dans le cas présent, VegaSec. Ces changements et d’autres permettent à des pirates amateurs de créer des botnets malveillants, ce qui entraîne une augmentation des attaques.

Analyse

Le botnet Katana tente d’exploiter par l’exécution de code à distance ou l’injection de code d’anciennes vulnérabilités comme celles des routeurs domestiques Linksys et GPON. Ces deux dernières semaines, notre honeypot a enregistré une hausse des fichiers binaires de logiciels malveillants, ce qui nous a incités à nous y intéresser de plus près.

Bien que Katana utilise d’anciennes attaques (nous supposons qu’il est en phase de test ou de développement), il a tout de même attiré notre attention pour les raisons suivantes :

• Il infecte activement des centaines d’appareils chaque jour ;
• Il est associé à des fonctions intéressantes.

Le botnet est téléchargé avec différentes IP sur une période donnée. Les chiffres ci-dessous indiquent comment il est téléchargé :

05-10-2020

08-10-2020 

12-10-2020 

Pendant notre analyse, nous avons découvert que le botnet fonctionne comme une instance unique en liant différents ports, à savoir 53168, 57913, 59690, 62471 et 63749. L’un de ces exemples est présenté ci-dessous :

Le botnet essaie de manipuler le chien de garde et empêche l’appareil de redémarrer. La figure ci-dessous le montre :

En résumé, Katana conserve plusieurs fonctions de Mirai, parmi lesquelles le fonctionnement en instance unique, un nom de processus aléatoire, la manipulation du chien de garde pour empêcher l’appareil de redémarrer, et des commandes DDoS. Le botnet configure également les iptables de manière à interdire l’accès au port 37215 d’un appareil touché.

Comme Mirai, le botnet permet également les commandes DDoS :

attack_app_http suggère qu’il s’agit en fait d’un botnet http. Par ailleurs, les fonctions (ci-dessus en gras) sont apparemment de nouvelles commandes dont ce nouveau botnet tire profit lors de ses attaques.

Analyse du réseau

Comme Mirai, ce nouveau botnet cible les routeurs domestiques tels que GPON et Linksys en exploitant leurs vulnérabilités par l’exécution de code à distance ou l’injection de code.

Pendant notre analyse, nous avons découvert qu’il est possible de contourner l’authentification simplement en ajoutant « ?images » à toute URL de l’appareil demandant une authentification, ce qui permet à un intrus de gérer l’appareil. Le trafic ci-dessous en montre le déroulement :

Pendant notre analyse, nous avons remarqué que l’on trouve un exécutable CGI binaire (tmUnblock.cgi) dans certains routeurs Linksys. Celui-ci présente de multiples failles de sécurité qui permettent diverses attaques du routeur. Le logiciel malveillant tente d’exploiter le routeur à l’aide d’un script CGI vulnérable, comme illustré ci-dessous :

L’authentification est encodée en base64, ce qui est décodé comme login : mot de passe.

Le botnet tente également d’exploiter différents appareils utilisant le SDK Realtek avec miniigd daemon, qui est vulnérable à l’injection de code OS dans l’interface SOAP UPnP. Le trafic est présenté ci-dessous :

Le botnet Katana essaie également de communiquer avec les serveurs C2 suivants :

• 100cnc[.]r4000[.]net
• 1280x1024cnc[.]r4000.net

À l’heure actuelle, le botnet Katana infecte activement des centaines d’appareils par jour. Jusqu’à présent et d’après nos statistiques, les plus touchés sont les 3 suivants :

• DSL-7740C DLink
• DOCSIS 3.1 Wireless Gateway
• Dell PowerConnect 6224 Switch

Conclusion

Il est important de protéger les terminaux IoT installés dans les environnements des clients. Le secteur doit commencer à adopter les meilleures pratiques pour améliorer la sécurité des appareils afin de s’assurer que leur appareils IoT sont des produits fiables faisant l’objet de correctifs réguliers.

L’équipe de recherche IoT d’Avira surveille ce type de nouvelles familles ou variantes de logiciel malveillant et propose des outils pour les détecter. Intégrer Avira SafeThings et des technologies anti-programme malveillant peut contribuer à protéger ses clients de telles attaques.

IoCs