Articolo Pubblicazioni

Mirai (2016): la botnet IoT che mise in crisi Internet

di · Pubblicato il 12 dicembre 2016

Abstract

Nell’autunno del 2016 una botnet formata da dispositivi IoT, come videocamere di sorveglianza, videoregistratori digitali e router domestici, ha generato alcuni degli attacchi di negazione del servizio più potenti mai registrati. Il 21 ottobre l’attacco al fornitore DNS Dyn ha reso irraggiungibili per ore servizi molto noti. L’articolo spiega come funziona Mirai, ricostruisce gli attacchi principali e indica che cosa dovrebbero fare produttori, operatori e utenti.

Vincenzo Calabrò | Mirai (2016): la botnet IoT che mise in crisi Internet
 

Il funzionamento

Mirai è un malware per dispositivi Linux embedded. Scandisce Internet alla ricerca di dispositivi con il servizio Telnet esposto e prova ad accedere con un elenco di una sessantina di combinazioni di nome utente e password predefinite, come admin e admin, root e 12345, o le credenziali di fabbrica di specifici produttori. Quando entra, scarica il proprio codice adatto all’architettura del dispositivo, elimina altri malware concorrenti, chiude alcune porte per impedire nuovi accessi e si mette in attesa di comandi da un server di controllo.
Il malware risiede solo in memoria. Un riavvio del dispositivo lo elimina, ma se la password resta quella di fabbrica il dispositivo viene reinfettato in pochi minuti dalle scansioni continue degli altri nodi. Al suo apice la botnet ha contato centinaia di migliaia di dispositivi, in gran parte videocamere IP e videoregistratori di pochi produttori, venduti con le stesse credenziali e con Telnet attivo.

Gli attacchi

Il 20 settembre 2016 il sito di un noto giornalista statunitense che si occupa di sicurezza informatica è stato colpito da un attacco di circa 620 gigabit al secondo, una quantità di traffico tale che il fornitore che lo proteggeva gratuitamente ha dovuto rinunciare a ospitarlo. Pochi giorni dopo il fornitore di hosting francese OVH ha segnalato attacchi vicini a un terabit al secondo. A fine settembre l’autore del malware ha pubblicato il codice sorgente su un forum, e da quel momento sono nate numerose varianti gestite da gruppi diversi.
Il 21 ottobre è stato colpito Dyn, una società statunitense che fornisce servizi DNS a molte grandi aziende. Con i server DNS sotto attacco, per diverse ore molti utenti, soprattutto sulla costa orientale degli Stati Uniti e in parte in Europa, non sono riusciti a raggiungere servizi come Twitter, Netflix, Reddit, GitHub e numerosi siti di informazione. I servizi funzionavano, ma i nomi non venivano tradotti in indirizzi. A fine novembre una variante che sfruttava una vulnerabilità di gestione remota dei router ha causato l’interruzione del servizio per circa novecentomila clienti di Deutsche Telekom, i cui router si bloccavano durante il tentativo di infezione.

Perché è stato possibile

Le cause sono note da tempo e Mirai le ha solo sfruttate su larga scala:
  • dispositivi venduti con credenziali predefinite uguali per tutti gli esemplari, che pochi utenti cambiano;
  • servizi di amministrazione come Telnet attivi e raggiungibili da Internet senza necessità;
  • assenza di aggiornamenti automatici e, spesso, di qualsiasi aggiornamento dopo la vendita;
  • prezzi molto bassi che lasciano poco spazio a investimenti in sicurezza;
  • utenti che non hanno modo di accorgersi che il proprio dispositivo partecipa a un attacco.

La concentrazione dei servizi

L’attacco a Dyn ha mostrato un secondo problema. Molti grandi servizi dipendono da pochi fornitori di infrastruttura, come DNS, reti di distribuzione dei contenuti e servizi cloud. Colpire uno di questi fornitori equivale a colpire tutti i suoi clienti insieme. Le aziende che usavano più fornitori DNS in parallelo hanno subito danni minori. La ridondanza tra fornitori diversi è una misura semplice che molte organizzazioni non adottano.

Che cosa fare

Le indicazioni riguardano diversi soggetti:
  1. i produttori dovrebbero eliminare le credenziali predefinite comuni, imponendo una password diversa per ogni dispositivo o il cambio al primo avvio, disattivare i servizi non necessari e prevedere aggiornamenti per tutta la vita del prodotto;
  2. gli operatori di rete possono individuare e isolare i dispositivi infetti dei propri clienti e filtrare il traffico con indirizzi di origine falsificati;
  3. le aziende dovrebbero censire i dispositivi IoT nelle proprie reti, come videocamere, stampanti, sistemi di controllo degli accessi e impianti, separarli dal resto della rete e impedirne l’esposizione diretta a Internet;
  4. gli utenti dovrebbero cambiare le password dei dispositivi domestici e disattivare l’accesso remoto quando non serve.

Riconoscere un dispositivo infetto

Un dispositivo che fa parte della botnet lascia tracce sulla rete. Genera traffico verso indirizzi casuali sulle porte Telnet 23 e 2323, durante la ricerca di nuove vittime, mantiene connessioni verso il server di controllo e, durante un attacco, produce picchi improvvisi di traffico in uscita verso un singolo bersaglio. Un firewall o un sistema di analisi dei flussi può individuare questi comportamenti. Per un’azienda che scopre una propria videocamera tra i partecipanti a un attacco, la priorità è isolare il dispositivo, cambiare le credenziali, aggiornarne il firmware se disponibile e verificare come fosse raggiungibile dall’esterno. Le tracce raccolte, come log del firewall e dei flussi, vanno conservate, perché possono servire a dimostrare la buona fede dell’azienda e a collaborare con le indagini.

Un problema di regole

Mirai ha portato il tema della sicurezza dei dispositivi connessi all’attenzione dei governi. Negli Stati Uniti e in Europa si discute di requisiti minimi obbligatori per i prodotti, di etichette di sicurezza e della responsabilità dei produttori. Finché un dispositivo insicuro costerà meno di uno sicuro e le conseguenze ricadranno su terzi, il mercato da solo difficilmente correggerà il problema.
 
Vedi anche: l’articolo del 2013 Mettere in sicurezza uno smart building, l’articolo del 2019 Rischi cyber per IoT e l’articolo del 2007 Estonia 2007.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn