Katana: una nuova variante della botnet Mirai

Il team di ricercatori di Avira ha recentemente identificato una nuova variante della botnet Mirai che prende il nome dalla spada giapponese Katana.

Pur essendo ancora in fase di sviluppo, la botnet Katana dispone già di moduli quali DDos layer 7, diverse chiavi di crittografia per ogni sorgente, capacità di autoreplicarsi rapidamente e C&C sicuro. Secondo alcune ipotesi, in futuro Katana potrebbe essere collegata a una botnet bancaria che agisce tramite protocollo di rete HTTP.

In passato abbiamo già osservato come Mirai, una botnet IoT, si sia evoluta dal momento in cui è stato pubblicato il suo codice sorgente. Da una recente analisi sugli attacchi IoT e sulle tendenze in ambito di malware emerge che Mirai è in continua evoluzione. Le varianti di Mirai, ad esempio, possono essere acquistate, vendute o reperite su canali YouTube, in questo caso specifico sul canale VegaSec. Queste e altre modifiche permettono anche a cybercriminali inesperti di creare botnet dannose capaci di causare un incremento degli attacchi.

Analisi

La botnet Katana cerca di sfruttare vecchie vulnerabilità attraverso l’esecuzione di codici remoti e Command Injection nei router domestici Linksys e GPON. Nelle scorse due settimane il nostro honeypot ha rilevato un’impennata di file binari di malware spingendoci ad andare a fondo della questione.

Benché utilizzi exploit vecchi (presumiamo che si trovi ancora in una fase di test e sviluppo), Katana ha attirato la nostra attenzione in quanto:

• infetta attivamente centinaia di dispositivi ogni giorno;
• contiene funzionalità interessanti.

Durante un determinato arco di tempo questa botnet è stata scaricata da diversi indirizzi IP. I dati riportati qui sotto illustrano come viene scaricata:

05-10-2020

08-10-2020 

12-10-2020 

Nel corso della nostra analisi abbiamo scoperto che la botnet viene eseguita come singola istanza collegando diverse porte, ad es. 53168, 57913, 59690, 62471, e 63749. Un esempio è riportato di seguito:

La botnet cerca di manipolare il watchdog per impedire il riavvio del dispositivo. I dati sottostanti ne sono una chiara dimostrazione:

In breve, Katana contiene diverse funzionalità di Mirai. Tra queste vi sono l’esecuzione di una singola istanza, un nome di processo casuale, la manipolazione del watchdog per impedire il riavvio del dispositivo e comandi DDoS. La botnet, inoltre, configura iptables per impedire l’accesso alla porta 37215 di un dispositivo infettato.

Analogamente a Mirai, la botnet supporta anche comandi DDoS:

attack_app_http induce a pensare che si tratti di una botnet che agisce tramite il protocollo HTTP. Inoltre, le funzioni (evidenziate in grassetto qui sopra) sono chiaramente nuovi comandi che la botnet sfrutta per sferrare i suoi attacchi.

Analisi della rete

Come Mirai, anche questa nuova botnet attacca i router domestici come GPON e Linksys attraverso l’esecuzione di codici remoti e lo sfruttamento di vulnerabilità Command Injection.

Nel corso della nostra analisi abbiamo scoperto che è possibile eludere l’autenticazione semplicemente aggiungendo “?images” a qualsiasi URL del dispositivo che richiede l’autenticazione. In questo modo l’intruso può gestire il dispositivo. Il traffico riportato di seguito mostra come accade:

Durante la nostra analisi abbiamo notato la presenza di un eseguibile binario CGI (tmUnblock.cgi) trovato in alcuni router Linksys. Questo presenta diverse falle in termini di sicurezza che permettono di sferrare attacchi al router. Il malware cerca di sfruttare il router attraverso uno script CGI vulnerabile, come illustrato di seguito:

L’autenticazione è codificata con Base64, ossia decodificata come login: password.

La botnet cerca inoltre di sfruttare diversi dispositivi che usano l’SDK RealTek con il demone miniigd, vulnerabile a OS Command Injection nell’interfaccia UPnP SOAP. Il traffico è riportato di seguito:

La botnet Katana tenta inoltre di comunicare con i suoi server C2 seguenti:

• 100cnc[.]r4000[.]net
• 1280x1024cnc[.]r4000.net

Attualmente la botnet Katana infetta attivamente centinaia di dispositivi al giorno. Fino ad ora, secondo le nostre statistiche i tre principali sono i seguenti:

• DLink DSL-7740C
• gateway wireless DOCSIS 3.1
• Switch PowerConnect 6224 di Dell

Conclusione

È importante salvaguardare gli endpoint IoT installati negli ambienti dei consumatori. Il settore deve iniziare ad adottare le migliori pratiche per migliorare la sicurezza dei dispositivi IoT e garantire che siano prodotti affidabili e sempre aggiornati con le ultime patch.

Il team di ricercatori IoT di Avira monitora le nuove famiglie o varianti di malware consentendone il rilevamento. L’integrazione di Avira SafeThings e delle tecnologie anti-malware può aiutare a proteggere gli utenti da tali attacchi.

IoCs