Mirai (malware): differenze tra le versioni

Versione delle 10:05, 24 mag 2017

Versione attuale delle 19:40, 11 ott 2025

(28 versioni intermedie di 22 utenti non mostrate)

Riga 1:

{{S|sicurezza informatica}}

{{Software

| Nome = Mirai

| Sviluppatore = Anna-senpai (pseudonimo)

| SistemaOperativo = linux

| Linguaggio = c

| Linguaggio2 = go

| Genere = [[Malware]]malware

| Licenza = [[Open source]]

|SitoWeb =

}}

'''Mirai''' (dal giapponese 未来, “futuro”) è un [[malware]] progettato per operare su dispositivi connessi a Internet, specialmente dispositivi [[Internet delle cose|IoT]], rendendoli parte di una [[botnet]] che può essere usata per attacchi informatici su larga scala.<ref>{{Cita news|lingua=en|nome=John|cognome=Biggs|url=https://techcrunch.com/2016/10/10/hackers-release-source-code-for-a-powerful-ddos-app-called-mirai/|titolo=Hackers release source code for a powerful DDoS app called Mirai|pubblicazione=TechCrunch|accesso=2018-02-03}}</ref> Il botnet creato da Mirai è stato scoperto nell’agosto del 2016 da MalwareMustDie,<ref>{{Cita web|url=http://blog.malwaremustdie.org/2016/08/mmd-0056-2016-linuxmirai-just.html|titolo=MMD-0056-2016 - Linux/Mirai, how an old ELF malcode is recycled.. · MalwareMustDie!|sito=blog.malwaremustdie.org|lingua=en|accesso=2018-02-03}}</ref> un’organizzazione nonprofit impegnata nella ricerca per la [[sicurezza informatica]] ed è stata utilizzata lo stesso anno in svariati attacchi [[DDoS]]. Mirai è diventato [[open source]] quando il [[codice sorgente]] è stato pubblicato su [[GitHub]]. Dalla sua pubblicazione, le tecniche utilizzate da Mirai sono state riprese e adattate in diversi malware.<ref>{{Cita news|lingua=en|nome=Michael|cognome=Kan|url=https://www.itworld.com/article/3132570/hackers-create-more-iot-botnets-with-mirai-source-code.html|titolo=Hackers create more IoT botnets with Mirai source code|pubblicazione=ITworld|accesso=2018-02-03|dataarchivio=15 gennaio 2018|urlarchivio=https://web.archive.org/web/20180115071655/https://www.itworld.com/article/3132570/hackers-create-more-iot-botnets-with-mirai-source-code.html|urlmorto=sì}}</ref>

'''Mirai''' è un [[malware]] che trasforma i sistemi informatici in [[botnet]] controllabili da remoto, le quali possono essere utilizzate in attacchi informatici su larga scala. È stato scoperto dal famoso gruppo non profit MalwareMustDie che per la prima volta lo ha analizzato e gli ha dato il nome che per la precisione è Linux/Mirai, pubblicando una ricerca molto dettagliata sul proprio [[blog]]<ref>{{cita web|http://blog.malwaremustdie.org/2016/08/mmd-0056-2016-linuxmirai-just.html|MMD-0056-2016 - Linux/Mirai, how an old ELF malcode is recycled..}}</ref>. I suoi obiettivi principali sono i dispositivi elettronici di consumo, come telecamere casalinghe e [[router]]. La botnet creata da Mirai è stata utilizzata in alcuni dei maggiori [[distributed denial-of-service|attacchi DDoS]], tra cui quello al sito ufficiale del giornalista [[Brian Krebs]] e [[attacco informatico alla Dyn dell'ottobre 2016|quello dell'ottobre 2016 alla Dyn]].<ref>{{cita web|http://www.corriere.it/esteri/16_ottobre_23/che-cos-e-dove-viene-mirai-malware-cyber-attacco-usa-b6e3777a-9929-11e6-8bff-dd2b744d8dfe.shtml|Che cos’è e da dove viene Mirai, il malware del cyber attacco negli Usa}}</ref>

== Malware ==

Il primo a scriverne al mondo è stato Security Affairs un blog italiano che ha ripreso attraverso un suo blogger Odisseus le caratteristiche salienti del malware Mirai.

Mirai è costituito da due componenti principali, il [[worm]] e il Command and Control (C2 o CnC).

Il worm sfrutta un dispositivo infetto per cercare continuamente [[Indirizzo IP|indirizzi IP]] di altri dispositivi IoT da compromettere.<ref>{{Cita web|url=https://www.corero.com/resources/ddos-attack-types/mirai-botnet-ddos-attack.html|titolo=The Mirai Botnet: All About the Latest Malware DDoS Attack Type {{!}} Corero|lingua=en|accesso=2018-02-03|dataarchivio=4 febbraio 2018|urlarchivio=https://web.archive.org/web/20180204000418/https://www.corero.com/resources/ddos-attack-types/mirai-botnet-ddos-attack.html|urlmorto=sì}}</ref> Tuttavia, Mirai possiede una lista di indirizzi IP da ignorare direttamente nel suo codice. Tra questi vi sono gli indirizzi riservati al Servizio Postale degli Stati Uniti, al [[Dipartimento della difesa degli Stati Uniti d'America|Dipartimento della difesa]], all’[[Internet Assigned Numbers Authority|Internet Assigned Numbers Authority (IANA)]], alla [[Hewlett-Packard]] e alla [[General Electric]].<ref>{{Cita web|url=https://www.incapsula.com/blog/malware-analysis-mirai-ddos-botnet.html|titolo=https://www.incapsula.com/blog/malware-analysis-mirai-ddos-botnet.html|accesso=2018-02-03}}</ref>

Erano i primi di Settembre del 2016: dopo la prima pubblicazione si contano decine di articoli sulle caratteristiche di questo nuovo malware che colpisce le IoT, ovvero Internet of Things.

Il bot infetto è in continua ricerca, e usa il protocollo [[Telnet]] tentando di accedere a vari indirizzi IP. Per effettuare il login, il bot sfrutta un [[attacco a dizionario]], ossia una tecnica di bruteforce dove svariati tentativi di login vengono effettuati, usando un "dizionario" pieno di credenziali comuni tra i dispositivi IoT. Queste credenziali vengono recuperate da una collezione di 60 username e password memorizzate nel codice sorgente. Quando il bot riesce ad ottiene l’accesso ad un dispositivo, una copa del worm viene caricato ed eseguito, comunicando al Command and Control l’identità del nuovo bot e le sue credenziali. I dispositivi infettati continuano a funzionare normalmente con un maggiore uso della [[Banda (informatica)|banda]].

Le modalità di funzionamento di Mirai sono note, poiché il suo [[codice sorgente]] è stato pubblicato nei forum di hacker. Dopo che il codice è stato reso pubblico, parti di esso sono state incorporate in altri malware.<ref>{{cita web|http://www.corrierecomunicazioni.it/digital/44111_attacco-a-twitter-ecco-il-software-zombie-che-ha-messo-in-ginocchio-i-giganti-dell-online.htm|Scoperto il software "zombie" che ha hackerato Twitter & co}}</ref>

Mirai è scritto principalmente in [[C (linguaggio)|C]] ed è stato creato per diverse architetture (x86, ARM, Sparc, PowerPC, Motorola) in modo da coprire il maggior numero di [[CPU]] utilizzate nei dispositivi IoT. Il malware compilato occupa poco spazio, e implementa diverse tecniche per passare inosservato e nascondere i suoi meccanismi interni. In particolare, dopo che il worm viene caricato nella [[RAM]] del bot, l'eseguibile si autoelimina dal disco. In questo modo, il malware persiste sul dispositivo finché non viene riavviato. Tuttavia, alla riaccensione del computer, se le credenziali di accesso non vengono velocemente modificate (oppure sono state modificate mentre il computer era offline), il dispositivo verrà nuovamente re-infettato riusando le credenziali caricate sul server 2C. Inoltre, Mirai identifica eventuali malware già attivi sul dispositivo e li rimuove. Per farlo, viene automaticamente eseguito uno [[script]] che termina tutti i processi che utilizzano servizi come [[SSH File Transfer Protocol|SSH]], [[Telnet]] e [[Hypertext Transfer Protocol|HTTP]].

Mirai scansiona continuamente la rete cercando dispositivi [[Internet delle cose|IoT]] e cerca di infettarli utilizzando una lista di nomi utente e password impostati di default dalle aziende produttrici nei loro dispositivi. Un dispositivo rimane infettato finché non viene riavviato; quindi, se la password non viene modificata immediatamente, viene di nuovo infettato entro pochi minuti.<ref>{{cita web|http://www.wired.it/internet/web/2016/10/23/come-funziona-mirai-il-malware-che-ha-spento-internet/|Come funziona Mirai, il malware che ha spento Internet}}</ref> Mirai ha una lista di [[sottorete|sottoreti]] che è programmato per non infettare, tra cui alcune [[indirizzo IP privato|reti private]] e indirizzi appartenenti allo [[United States Postal Service]] e al [[Dipartimento della Difesa degli Stati Uniti d'America|Dipartimento della Difesa degli Stati Uniti]].

Il Command and Control implementato da Mirai supporta una semplice [[interfaccia a riga di comando|interfaccia testuale]], che permette all’attaccante di specificare un target, ossia uno o più indirizzi IP su cui effettuare un [[Denial of service|DDoS]] e la durata dell’attacco. Per quanto riguarda i metodi di attacco, Mirai è capace di lanciare varie tipologie di attacchi DDoS. A [[Livello di applicazione|livello applicazione]] può lanciare attacchi tramite HTTP, mentre a [[livello di rete]] e [[Livello di trasporto|trasporto]] è capace di lanciare attacchi di tipo GRE IP and GRE ETH floods, SYN and ACK floods, STOMP floods, DNS floods e UDP flood. Inoltre, il 2C è sempre in attesa che i bot comunichino i nuovi dispositivi infettati e le loro credenziali, le quali vengono usate per copiare il codice del worm e ampliare il botnet.

Si stima che ci siano centinaia di migliaia di dispositivi IoT che usano le impostazioni di fabbrica e sono perciò vulnerabili al virus. Una volta che un dispositivo è stato infetto, si connette ad un server di controllo che gli fornisce un obiettivo da attaccare.

== Attacchi DDoS ==

Mirai è stato utilizzato, insieme a [[BASHLITE]],<ref>{{Cita web|url=https://arstechnica.com/information-technology/2016/10/double-dip-internet-of-things-botnet-attack-felt-across-the-internet/|titolo="Double-dip Internet-of-Things botnet attack felt across the Internet"}}</ref> nell'attacco DDoS del 20 settembre 2016 sul sito di [[Brian Krebs|Krebs on Security]] che ha raggiunto i 620&nbsp;Gbit/s. [[Ars Technica]] ha anche riportato un attacco da 1&nbsp;Tbit/s sul web host [[OVH]] francese.<ref>{{Cita web|url=https://securityintelligence.com/news/leaked-mirai-malware-boosts-iot-insecurity-threat-level/|titolo="Leaked Mirai Malware Boosts IoT Insecurity Threat Level"}}</ref>

Oltre al già citato [[attacco informatico alla Dyn dell'ottobre 2016|attacco del 21 ottobre 2016 alla Dyn]], la botnet creata da Mirai è stata usata il 27 novembre 2016 per bloccare circa 900mila connessioni Internet e telefoniche in Germania. L'attacco è stato effettuato sfruttando una vulnerabilità dei [[router]] forniti da [[Deutsche Telekom]] ai suoi clienti.<ref>{{cita web|http://www.repubblica.it/tecnologia/sicurezza/2016/11/29/news/attacco_hacker_a_telekom_cosi_mirai_colpisce_l_internet_delle_cose-153075288/|Attacco hacker a Telekom, così la botnet Mirai colpisce l'Internet delle cose}}</ref>

Mirai è anche responsabile per i multipli attacchi DDoS nei servizi [[Domain Name System|DNS]] di Dyn effettuati il 21 ottobre 2016, rendendo vari siti Web molto popolari inaccessibili, come [[GitHub]], [[Twitter]], [[Reddit]], [[Netflix]], [[Airbnb]] e molti altri.<ref>{{Cita web|url=https://www.theregister.co.uk/2016/10/21/dyn_dns_ddos_explained/|titolo="Today the web was broken by countless hacked devices"}}</ref>

In seguito, Mirai è stato utilizzato durante gli attacchi DDoS contro la [[Rutgers University]] dal 2014 al 2016, che ha impedito a facoltà e studenti di accedere a Internet all'esterno del campus per diversi giorni; inoltre, un fallimento del [[Central Authentication Service]] ha reso la registrazione del corso e altri servizi non disponibili durante i periodi critici del semestre accademico. Secondo quanto riferito, l'università ha speso US$300.000 in consultazione e ha aumentato il budget per la sicurezza informatica dell'università di US$1 milione in risposta a questi attacchi. L'università ha citato gli attacchi tra le ragioni per l'aumento dei costi per l'anno scolastico 2015-2016.<ref>{{Cita web|url=https://www.northjersey.com/story/news/2017/12/13/union-county-man-pleads-guilty-rutgers-cyber-attacks/949591001/|titolo="Former Rutgers student pleads guilty in cyber attacks"}}</ref>

Lo staff di Deep Learning Security ha osservato la costante crescita delle botnet Mirai prima e dopo l'attacco del 21 ottobre.<ref>{{Cita web|url=https://medium.com/@deeplearningsec/think-mirai-ddos-is-over-it-aint-96298a9ff896|titolo="Think Mirai DDoS is over? It ain’t!!"}}</ref>

Mirai è stato utilizzato anche in un attacco all'infrastruttura Internet della [[Liberia]] nel novembre 2016. Secondo l'esperto di sicurezza informatica Kevin Beaumont, l'attacco sembra aver avuto origine dall'attore che ha attaccato anche Dyn.<ref>{{Cita web|url=https://www.telegraph.co.uk/technology/2016/11/04/unprecedented-cyber-attack-takes-liberias-entire-internet-down/|titolo="Unprecedented cyber attack takes Liberia's entire internet down"}}</ref>

Il sito Web Security Affairs è stato buttato giù per più di un'ora solo venti minuti dopo aver pubblicato un articolo su Mirai Okiru il 14 gennaio 2018.<ref>{{Cita web|url=https://exchange.xforce.ibmcloud.com/collection/Okiru-botnet-targets-ARC-processors-widely-used-in-IoT-devices-fe6d7b56a5873e18b30279004fa0dd29|titolo="Okiru botnet targets ARC processors widely used in IoT devices"}}</ref>

== Identità dell'autore ==

Il 17 gennaio 2017, il giornalista della sicurezza informatica [[Brian Krebs]] ha pubblicato un articolo sul suo blog, Krebs on Security, in cui ha rivelato il nome della persona che riteneva avesse scritto il malware. Krebs ha dichiarato che la probabile identità nella vita reale di Anna-senpai (dal nome di Anna Nishikinomiya, un personaggio di [[Shimoneta]]), l'autore di Mirai, era in realtà Paras Jha. Jha è proprietario di una società di servizi di mitigazione DDoS ProTraf Solutions e uno studente della [[Rutgers University]]. In un aggiornamento dell'articolo originale, Paras Jha ha risposto a Krebs e ha negato di avere scritto Mirai.<ref>{{Cita web|url=https://krebsonsecurity.com/2017/01/who-is-anna-senpai-the-mirai-worm-author/|titolo="Who is Anna-Senpai, the Mirai Worm Author?"|accesso=14 febbraio 2018|urlarchivio=https://web.archive.org/web/20170122013744/https://krebsonsecurity.com/2017/01/who-is-anna-senpai-the-mirai-worm-author/|dataarchivio=22 gennaio 2017|urlmorto=sì}}</ref>

== Altri incidenti legati a Mirai ==

Dopo gli attacchi perpetrati tramite Mirai, vi sono stati altri attacchi che hanno sfruttato il codice e le logiche di Mirai stesso per creare versioni evolute del malware originale.

Ad esempio, nel novembre del 2016 più di 900.000 [[router]] della [[Deutsche Telekom]] sono andati offline dopo essere stati infettati da una variante di Mirai. Questo malware si è inserito all’interno dei router sfruttando una vulnerabilità nel protocollo [[TR-069]], che permette al fornitore di aggiornare da remoto il [[firmware]] dei dispositivi. Questa nuova versione di Mirai, implementava una funzione specifica per il bersaglio dell’attacco. Infatti, dopo aver infettato il router, terminava tutti i processi e i protocolli attivi per la [[Porta (informatica)|porta]] [[Transmission Control Protocol|TCP]] 7547, la stessa usata dal protocollo TR-069, in questo modo ha potuto inibire la manutenzione dei dispositivi per diverso tempo.<ref>{{Cita web|url=https://krebsonsecurity.com/2016/11/new-mirai-worm-knocks-900k-germans-offline/|titolo=New Mirai Worm Knocks 900K Germans Offline — Krebs on Security|sito=krebsonsecurity.com|lingua=en|accesso=2018-02-03}}</ref>

Un caso analogo si è avuto in Inghilterra nel dicembre del 2016. Un malware, sfruttando la stessa tecnica del caso tedesco, ha infettato un elevato numero di router, quasi tutti appartenenti alla TalkTalk Telecom.<ref>{{Cita web|url=https://www.incapsula.com/blog/new-variant-mirai-embeds-talktalk-home-routers.html|titolo=https://www.incapsula.com/blog/new-variant-mirai-embeds-talktalk-home-routers.html|accesso=2018-02-03}}</ref>

== Note ==

<references />

== Voci correlate ==

* [[Denial of Service]]

* [[Malware]]

* [[Domain Name System|DNS]]

== Collegamenti esterni ==

* {{Collegamenti esterni}}

{{Portale|Sicurezza informatica}}

[[Categoria:VirusWorms informatici]]