Mirai es un gusano y botnet formado por dispositivos del Internet de las Cosas pirateados (comprometidos) (reproductores de video, cámaras web inteligentes , etc.).
La botnet Mirai se hizo posible gracias a la implementación de una vulnerabilidad que consistía en usar la misma contraseña establecida por el fabricante, sin cambios, para acceder a la cuenta de administrador en dispositivos "inteligentes". En total, utiliza 61 combinaciones diferentes de inicio de sesión y contraseña para acceder a la cuenta por fuerza bruta [1] . Los estudios han demostrado que una parte significativa de los dispositivos vulnerables se fabricaron con componentes fabricados por XiongMai Technologies, con sede en Hangzhou y Dahua, China [2] .
En septiembre de 2016, luego de publicar un artículo sobre grupos que venden servicios de botnet para realizar ataques DDoS , el sitio web del periodista Brian Krebs fue víctima de un ataque DDoS en su punto máximo, que alcanzó un máximo de 665 Gb/s , lo que lo convierte en uno de los ataques DDoS más potentes que se conocen. Dado que el host del sitio se negó a continuar brindando sus servicios de forma gratuita, el sitio tuvo que cerrarse por un tiempo hasta que se encontró un nuevo host. El ataque fue llevado a cabo por una botnet de cámaras de video "inteligentes" infectadas (que es un subconjunto de Internet de las cosas). En octubre del mismo año, los atacantes publicaron el código fuente del malware que utilizaban (conocido como Mirai), lo que creaba el riesgo de reproducción descontrolada de ataques por parte de otros atacantes [3] [4] .
Los estudios han demostrado que a partir del 23 de septiembre, cuando el ataque alcanzó su punto máximo, se podían encontrar en Internet más de 560.000 dispositivos vulnerables a este tipo de ataque [2] .
El viernes 21 de octubre de 2016 se produjo un potente ataque distribuido de denegación de servicio contra Dyn DNS, el operador de DNS de EE . UU . El ataque se produjo en dos oleadas, la primera duró desde las 11:10 UTC hasta las 13:20 UTC, y la segunda entre las 15:50 UTC y las 17:00 UTC. A pesar de que los ingenieros pudieron tomar medidas rápidamente para repeler el ataque, aún afectó a los usuarios de Internet. Los efectos del ataque se pudieron ver hasta alrededor de las 20:30 UTC de ese día [5] .
Ambas oleadas atacaron los servidores de la empresa, que estaban ubicados en varias regiones del mundo (desde Asia hasta Estados Unidos) [5] .
El ataque fue amplificado por la avalancha de reintentos de DNS que provocó desde millones de computadoras diferentes en todo el mundo. Las solicitudes provocadas vía IP y UDP al puerto 53 excedieron el tráfico normal entre 40 y 50 veces (excluyendo aquellas solicitudes que no pudieron llegar a los servidores de la empresa como resultado de las medidas de protección tomadas y los canales de comunicación sobrecargados ) [5] . Como resultado del ataque, hubo problemas de acceso a muchos sitios web, en particular: Twitter , Etsy , GitHub , SoundCloud , Spotify , Heroku y otros [6] .
Una investigación realizada por la empresa mostró que la columna vertebral del ataque se basó en unos 100 000 dispositivos IoT controlados por la variante de malware Mirai [5] .
| botnets | |
|---|---|
| |
| |