Botnet da Internet das Coisas ataca mais de 100 mil câmeras IP

Um novo botnet de Internet das Coisas, chamado de Persirai foi detectado pela Trend Micro (como ELF_PERSIRAI.A). De acordo com especialistas da empresa de segurança da informação, o botnet foi visto atacando mais de 1.000 modelos de Câmeras Internet Protocol (IP) com base em vários produtos de uma fabricante chinesa. O surgimento desse botnet ocorreu logo após o Mirai – malware de backdoor com código aberto que causou alguns dos ataques de DDoS mais notáveis de 2016.

A companhia detectou aproximadamente 120 mil câmeras IP que estão vulneráveis ao ELF_PERSIRAI via Shodan. Boa parte desses usuários vulneráveis não sabe que suas câmeras IP estão expostas à Internet. Isso faz com que seja mais fácil que os atacantes obtenham acesso à interface online da câmera IP por meio da Entrada TCP 81. O Brasil foi mapeado como um dos países em que 3,43 % das câmeras atacadas estão em uso.

Câmeras IP costumam usar um Plug e Play Universais (UPnP), protocolos de rede que permitem aos dispositivos abrirem uma entrada no roteador e agirem como um servidor, tornando-as alvos visíveis para os malware de IoT.

[awprm urls=https://imasters.com.br/noticia/internet-das-coisas-volta-ser-tema-de-consulta-publica/,https://imasters.com.br/noticia/brasil-ganha-duas-antenas-voltadas-para-aplicacoes-de-internet-das-coisas/]

Conforme o site Convergência Digital, depois de fazer login na interface vulnerável, o invasor pode executar um comando que força a câmera IP a se conectar a um site de download. Após amostras serem baixadas e executadas, o malware se deleta e só será executado na memória. Ele também irá bloquear o exploit zero-day, indicando oftpupdate.sh e ftpupload.sh to /dev/null para impedir que outros atacantes ataquem a câmera IP da vítima. No entanto, uma vez que a câmera é reinicializada, automaticamente ela se tornará vulnerável.

Após receber comandos do servidor, a câmera IP automaticamente começa a atacar outras do mesmo modelo, explorando uma vulnerabilidade zero-day que foi divulgada há alguns meses. Por meio dessa vulnerabilidade, os atacantes acessam o arquivo de senha do usuário, fazendo com que eles tenham os meios para comandar as injeções mesmo que a senha seja forte.

A Internet das Coisas vem ganhando impulso entre os usuários comuns. Por isso, os cibercriminosos podem começar a optar por deixar de lado servidores NTP (Network Time Protocol) e DNS (Domain Name System) e preferir ataques de DDoS, concentrando-se em dispositivos vulneráveis — um problema agravado pelos usuários que usam poucas medidas de segurança.

Boa parte desses ataques foi causado pelo uso da senha padrão na interface do dispositivo. Entretanto, uma senha forte não garante que o dispositivo permaneça seguro. Proprietários de câmera IP devem implementar outras medidas para garantir que seus dispositivos fiquem protegidos contra ataques externos. Além de usar uma senha forte, os usuários devem desativar a UPnP em seus roteadores para impedir a abertura de entradas de Internet externas sem qualquer aviso de dispositivos dentro da rede.

A segurança da IoT não depende só dos usuários — também depende dos fornecedores, que devem ser os responsáveis por garantir que seus dispositivos permaneçam seguros e sempre atualizados.