Mirai (malware): differenze tra le versioni

Versione delle 00:44, 15 feb 2018

Versione delle 02:42, 28 feb 2018

Riga 10:

| SitoWeb = https://github.com/jgamblin/Mirai-Source-Code

}}

Mirai (dal giapponese 未来, “futuro”) è un [[malware]] progettato per operare su dispositivi connessi a Internet, specialmente dispositivi [[Internet delle cose|IoT]], rendendoli parte di una [[botnet]] che può essere usata per attacchi informatici su larga scala<ref>{{Cita news|lingua=en|nome=John|cognome=Biggs|url=https://techcrunch.com/2016/10/10/hackers-release-source-code-for-a-powerful-ddos-app-called-mirai/|titolo=Hackers release source code for a powerful DDoS app called  Mirai|pubblicazione=TechCrunch|accesso=2018-02-03}}</ref>. La botnet creata da Mirai è stata scoperta nell’agosto del 2016 da MalwareMustDie<ref>{{Cita web|url=http://blog.malwaremustdie.org/2016/08/mmd-0056-2016-linuxmirai-just.html|titolo=MMD-0056-2016 - Linux/Mirai, how an old ELF malcode is recycled.. · MalwareMustDie!|sito=blog.malwaremustdie.org|lingua=en-us|accesso=2018-02-03}}</ref>, un’organizzazione nonprofit impegnata nella ricerca per la sicurezza informatica ed è stata utilizzata lo stesso anno in svariati attacchi [[DDoS]]. Il codice sorgente di Mirai è stato pubblicato su GitHub in [[open source]]. Dalla sua pubblicazione, le tecniche utilizzate da Mirai sono state riprese e adattate in diversi malware<ref>{{Cita news|lingua=en|nome=Michael|cognome=Kan|url=https://www.itworld.com/article/3132570/hackers-create-more-iot-botnets-with-mirai-source-code.html|titolo=Hackers create more IoT botnets with Mirai source code|pubblicazione=ITworld|accesso=2018-02-03}}</ref>.

== Malware ==

Mirai è costituito da due componenti principali, il [[Virus (informatica)|virus]] e il Command and Control (CnC).

Il virus sfrutta un dispositivo infetto per cercare continuamente [[Indirizzo IP|indirizzi IP]] di altri dispositivi IoT da compromettere<ref>{{Cita web|url=https://www.corero.com/resources/ddos-attack-types/mirai-botnet-ddos-attack.html|titolo=The Mirai Botnet: All About the Latest Malware DDoS Attack Type {{!}} Corero|sito=www.corero.com|lingua=en|accesso=2018-02-03}}</ref>. Tuttavia, Mirai possiede una lista di indirizzi IP da ignorare direttamente nel suo codice. Tra questi vi sono gli indirizzi riservati al Servizio Postale degli Stati Uniti, al [[Dipartimento della Difesa degli Stati Uniti d'America|Dipartimento della Difesa]], all’[[Internet Assigned Numbers Authority|Internet Assigned Numbers Authority (IANA)]], alla [[Hewlett-Packard]] e alla [[General Electric]]<ref>{{Cita web|url=https://www.incapsula.com/blog/malware-analysis-mirai-ddos-botnet.html|titolo=https://www.incapsula.com/blog/malware-analysis-mirai-ddos-botnet.html|sito=www.incapsula.com|accesso=2018-02-03}}</ref>.

Il processo di ricerca è sempre in esecuzione su ogni BOT infettato e usa il protocollo [[Telnet]] tentando di accedere in modo casuale ai vari indirizzi IP. Per effettuare il login, sfrutta un [[attacco a dizionario]], ossia una tecnica di forza bruta che prevede di svolgere svariati tentativi con credenziali comuni tra i dispositivi IoT. Queste credenziali vengono recuperate da una collezione di 60 coppie di username e password di default memorizzate nel codice sorgente. Quando ottiene l’accesso ad un dispositivo lo infetta con il malware e comunica al Command and Control l’identità del nuovo BOT e le sue credenziali. I dispositivi infettati continuano a funzionare normalmente ma aumenta l’uso della [[Banda (informatica)|banda]].

Mirai è scritto principalmente in [[C (linguaggio)|C]] ed è progettato per diverse architetture (x86, ARM, Sparc, PowerPC, Motorola) in modo da coprire il maggior numero di [[CPU]] utilizzate nei dispositivi IoT. L’immagine del malware è leggera e implementa diverse tecniche per passare inosservata e nascondere i suoi meccanismi interni. In particolare, dopo che il virus viene caricato nella [[RAM|memoria volatile]] del BOT si autoelimina dal disco dello stesso. In questo modo, il malware persiste sul dispositivo finché non viene riavviato. Tuttavia, al termine del reboot, se le credenziali di accesso non vengono velocemente modificate, il dispositivo verrà nuovamente scoperto e re-infettato. Inoltre, Mirai indentifica eventuali malware concorrenti già attivi sul dispositivo e li rimuove. Per farlo sfrutta uno [[script]] che termina tutti i processi che utilizzano servizi come [[SSH File Transfer Protocol|SSH]], [[Telnet]] e [[Hypertext Transfer Protocol|HTTP]].

Riga 24:

== Attacchi DDoS ==

Mirai è stato utilizzato, insieme a [[:en:BASHLITE|BASHLITE]], <ref>{{Cita web|url=https://arstechnica.com/information-technology/2016/10/double-dip-internet-of-things-botnet-attack-felt-across-the-internet/|titolo="Double-dip Internet-of-Things botnet attack felt across the Internet"}}</ref> nell'attacco DDoS del 20 settembre 2016 sul sito di [[:en:Brian_Krebs|Krebs on Security]] che ha raggiunto i 620 Gbit / s. [[:en:Ars_Technica|Ars Technica]] ha anche riportato un attacco da 1 Tbit / s sul web host [[:en:OVH|OVH]] francese <ref>{{Cita web|url=https://securityintelligence.com/news/leaked-mirai-malware-boosts-iot-insecurity-threat-level/|titolo="Leaked Mirai Malware Boosts IoT Insecurity Threat Level"}}</ref>.

Il 21 ottobre 2016 si sono verificati più attacchi DDoS nei servizi [[:en:Domain_Name_System|DNS]] del fornitore di servizi DNS [[:en:Dyn_(company)|Dyn]] utilizzando il malware Mirai installato su un gran numero di [[:en:Internet_of_things|dispositivi IoT]], con conseguente inaccessibilità di diversi siti Web di alto profilo come [[GitHub]], [[Twitter]], [[Reddit]], [[Netflix]], [[Airbnb]] e molti altri. <ref>{{Cita web|url=https://www.theregister.co.uk/2016/10/21/dyn_dns_ddos_explained/|titolo="Today the web was broken by countless hacked devices"}}</ref>

In seguito, Mirai è stato utilizzato durante gli attacchi DDoS contro la [[Rutgers University]] dal 2014 al 2016, che ha impedito a facoltà e studenti di accedere a Internet all'esterno del campus per diversi giorni; inoltre, un fallimento del [[:en:Central_Authentication_Service|Central Authentication Service]] ha reso la registrazione del corso e altri servizi non disponibili durante i periodi critici del semestre accademico. Secondo quanto riferito, l'università ha speso $ 300.000 in consultazione e aumentato il budget per la sicurezza informatica dell'università di $ 1 milione in risposta a questi attacchi. L'università ha citato gli attacchi tra le ragioni per l'aumento delle tasse scolastiche e delle tasse per l'anno scolastico 2015-2016 .<ref>{{Cita web|url=https://www.northjersey.com/story/news/2017/12/13/union-county-man-pleads-guilty-rutgers-cyber-attacks/949591001/|titolo="Former Rutgers student pleads guilty in cyber attacks"}}</ref>

Lo staff di Deep Learning Security ha osservato la costante crescita delle botnet Mirai prima e dopo l'attacco del 21 ottobre. <ref>{{Cita web|url=https://medium.com/@deeplearningsec/think-mirai-ddos-is-over-it-aint-96298a9ff896|titolo="Think Mirai DDoS is over? It ain’t!!"}}</ref>