Black Lotus Labs raporunun özeti
Olayın özeti
- Olayın gerçekleşmesi: 25 Ekim 2023'ten 27 Ekim'e kadar 72 saat boyunca, tek bir internet servis sağlayıcısına (ISP) ait 600 binden fazla küçük ofis/ev ofisi (SOHO) yönlendirici çevrimdışı kaldı.
- Etkisi: Enfekte cihazlar kalıcı olarak çalışamaz hale geldi ve donanım değişimi gerekti.
- Ana neden: "Chalubo" adlı bir uzaktan erişim truva atı (RAT) başlıca neden olarak belirlendi.
Chalubo truva atı
- İlk tespit: İlk olarak 2018'de tespit edildi.
- Özellikler:
- Diskteki tüm dosyaları kaldırır ve bellekte çalışır.
- Cihazda zaten mevcut olan rastgele süreç adlarını kullanır.
- Komuta ve kontrol (C2) sunucusuyla tüm iletişimi şifreler.
- Yetenekler: DDoS saldırıları gerçekleştirebilir, Lua betikleri çalıştırabilir.
Enfeksiyon süreci
- İlk erişim: Zayıf kimlik bilgileri veya açığa çıkmış yönetim arayüzlerinin istismar edilmiş olma olasılığı yüksektir.
- Enfeksiyon aşamaları:
- Birinci aşama: İlk yük sunucusuna "get_scrpc" bash betiği üzerinden erişilir.
- İkinci aşama: Ek betikler ve yükler indirilip çalıştırılır.
- Başlıca dosyalar:
/usr/bin/usb2rci, /tmp/.adiisu, /tmp/crrs vb.
Küresel enfeksiyon durumu
- Etkinlik: Kasım 2023'ten 2024'ün başına kadar Chalubo kötü amaçlı yazılımı çok aktifti.
- Enfekte IP adresleri: 30 Ekim 2023 itibarıyla 330 binden fazla benzersiz IP adresi enfekte oldu.
Sonuç
- Dikkat çekici nokta: Bu saldırı belirli bir ASN ile sınırlıydı ve 600 binden fazla cihaz etkilendi.
- Saldırının amacı: Kasıtlı bir firmware güncellemesiyle cihazları çalışamaz hale getirmekti.
- Güvenlik önerileri:
- SOHO yönlendiricilerini yöneten kuruluşlar: Varsayılan parolaları kullanmayın, yönetim arayüzü güvenliğini güçlendirin.
- Genel kullanıcılar: Yönlendiriciyi düzenli olarak yeniden başlatın ve güvenlik güncellemelerini yükleyin.
GN⁺ görüşü
- İlgi çekici nokta: Bu olayın tek bir ISP ile sınırlı kalması ve büyük ölçekli donanım değişimi gerektirmesi açısından oldukça sıra dışı.
- Güvenliği güçlendirme ihtiyacı: SOHO yönlendiricileri ve IoT cihazlarının güvenliğinin acilen güçlendirilmesi gerekiyor.
- Teknik ders: Kötü amaçlı yazılımın yalnızca bellekte çalışması ve iletişimi şifrelemesi gibi tespitten kaçınma teknikleri gelişiyor.
- Alternatif çözümler: Benzer işlevler sunan başka güvenlik çözümleri veya projelerin incelenmesi gerekiyor.
- Benimseme sırasında dikkat edilmesi gerekenler: Yeni güvenlik teknolojileri devreye alınırken mevcut sistemlerle uyumluluk ve yönetim kolaylığı dikkate alınmalıdır.
1 yorum
Hacker News görüşleri