Internet przekraczał próg weekendu, ale nie w najlepszym stylu. Kilka ważnych serwisów – w tym Twitter, Netflix, Reddit i Spotify – zaczęło wyrzucać błędy dostępu, choć z ich infrastrukturą nie było nic złego. Nowy cyberatak uderzył w firmę Dyn, jednego z najważniejszych dystrybutorów DNS na świecie. Atak skoncentrował się przede wszystkim na Stanach Zjednoczonych, a dane z ostatnich 72 godzin wskazują na botnet oparty na malware o nazwie Mirai.
Połowa internetu zniknęła
Wiadomo było, że kolejny cyberatak lada moment uderzy w infrastrukturę internetu. Bez względu na to, jak wielkie były ostatnie odnotowane wydarzenia, nie znikało wrażenie, że ich sprawcy „trenują”, przygotowując się do czegoś ogromnego. Cóż, najwyraźniej to „coś” wydarzyło się w miniony piątek, gdy połowa internetu w Stanach Zjednoczonych i część Europy po prostu zniknęła. Ucierpiały dziesiątki bardzo rozpoznawalnych serwisów, reprezentujących najróżniejsze gatunki i usługi. Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, portale informacyjne… lista ciągnie się dalej. Najbardziej uderzające jest to, że atak nie był wymierzony w te serwisy, lecz miał na celu skompromitowanie systemu, który pozwala nam się do nich dostać. Innymi słowy, zaatakowano firmę Dyn, dystrybutora DNS, znaną wielu z nas wcześniej jako DynDNS.
Według raportu opublikowanego przez samą Dyn, atak DDoS rozpoczął się na krótko przed 11:10 (UTC/GMT) w miniony piątek i został uznany za „rozwiązany” jedenaście godzin później. Dwukrotnie sądzono, że atak udało się zażegnać, ale średnia przerwa wynosiła około trzech godzin. Skutki ataku uderzyły w serwery Dyn na wschodnim wybrzeżu Stanów Zjednoczonych, choć w praktyce dotknęły niemal całe terytorium kraju oraz część Europy. Z czasem kilka firm zajmujących się bezpieczeństwem ustaliło, że botnet odpowiedzialna za cyberatak była oparta na malware o nazwie Mirai. Jeśli ta nazwa brzmi znajomo, to dlatego, że to to samo malware, którego użyto przeciw portalowi Krebs on Security oraz w rekordowym ataku DDoS, który położył francuskiego dostawcę OVH. Specjalną umiejętnością Mirai jest zamiana urządzeń takich jak kamery monitoringu, niani elektroniczne i inne akcesoria słynnego Internetu Rzeczy w armię zombie zdolną do rozpętania niszczycielskiej siły. A jeśli to mało – osoba odpowiedzialna za malware Mirai, kryjąca się pod pseudonimem „Anna-sempai”, opublikowała swój kod w ostatnich tygodniach września. Choć nie oznacza to, że ta sama botnet uczestniczyła we wszystkich trzech atakach, udział Mirai w każdym z nich jest bardzo wyraźny.
Mirai: botnet z Internetu Rzeczy
Firma bezpieczeństwa Flashpoint podzieliła się dodatkowymi szczegółami na temat „zombie”, które zaatakowały Dyn. Choć nie wykluczono udziału kilku połączonych botnetów, Flashpoint ostrzegł, że najbardziej dotknięte zostały urządzenia oparte na sprzęcie chińskiej firmy XiongMai Technologies. Przypomina nam to o braku bezpieczeństwa i odpowiedzialności producentów, którzy nie chronią swoich produktów w odpowiedni sposób. Wszystkie te akcesoria trafiają do sprzedaży z fabrycznym hasłem wewnętrznym (hardcoded), którego użytkownik nie może zmienić, a co gorsza – pozostawiają otwarty dostęp do urządzeń przez telnet lub SSH, czyli przysmaki podane na srebrnej tacy dla malware. Proste skanowanie w poszukiwaniu podatnego sprzętu pozwoliło Flashpoint znaleźć ponad pół miliona takich urządzeń, a nikt nie wie, ile mogłoby ich znaleźć malware z funkcją trwałego zakorzenienia się. To dokładnie jak przewidział Martin McKeay z Akamai po ataku na OVH: zaciemnienia internetu.
To jeszcze nie koniec
Twarda prawda jest taka, że to się nie skończy. Gdy w pełni zrozumiemy możliwości Mirai, być może uda się ją powstrzymać, ale ludzie odpowiedzialni za ataki są bardzo inteligentni – wystarczy, że wezmą jej kod i stworzą coś jeszcze sprytniejszego. Być może nadszedł czas, by postawić Internet Rzeczy przed sądem i wprowadzić obowiązkowe certyfikacje, których producenci będą musieli przestrzegać, aby zagwarantować, że ich produkty nie zagrożą już i tak bardzo delikatnej infrastrukturze. To oczywiście oznacza wyższe koszty. Pomysł wymiany wadliwego i niebezpiecznego sprzętu spotka się z oporem na całej linii, ale mechanika „łatania i łagodzenia” zbliża się do swojej granicy.
Krebs on Security
Flashpoint
