Ciberseguridad: Botnet Mirai, tarea de investigacion

[pic 1]

Universidad de Guadalajara

Centro Universitario de Ciencias Exactas e Ingenierías

Cátedra de Seguridad de la

información

Vargas López Juan Carlos (219296237) INNI

INNI : Ingeniería Informática

(I5905)Seguridad de la información - D04 - 2022B Guzman Montes Carlos Alberto

0

Caso Mirai-Botnet : Investigación

[pic 2]

Introducción

[pic 3]

[pic 4] El CIBER-ATAQUE más grande de la historia... ¿Empezó con MINECRAFT? | Ciberseguridad … Un ataque DoS se refiere a la técnica utilizada por un atacante para denegar el servicio(http,telnet,ftp) de una víctima(servidor) mediante la saturación del ancho de banda, creando un overflow de peticiones y con ello denegando el servicio(Denial Of Service) a los clientes reales. Esta clase de ataques se realizan mediante el uso de redes de computadoras, pero actualmente debemos preguntarnos: ¿qué NO es una computadora? Con el auge de la tecnología IoT y la necesidad creciente de sentir que existimos en el futuro conectando hasta el perchero a internet, las vulnerabilidades para ésta clase de productos es un tema que se tira bajo la alfombra, dónde los expertos habrán de discutirlo.

1

[pic 5]

Mirai evoca los ataques de cripto-minado, dónde se logran infectar dispositivos con técnicas similares,descargando algun software pirata o conectándose a una red infectada, los dispositivos son registrados para que participen en computaciones distribuidas; Mirai aprovecha la vulnerabilidad CVE-2020-5902 y utilizando credenciales por defecto” en la configuración para acceder los dispositivos,obtiene acceso a elementos de IoT cómo: cámaras de seguridad,routers, termostátos, lámparas, cerraduras, bocinas, televisiones y cualquier dispositivo con capacidad de generar una

2

conexión telnet que no esté configurado de forma segura.

[pic 6]

Mirai realiza un escaneo(1) , hace un reporte que envía al servidor(2), gracias al reporte envía un exploit específico, adaptado a la infraestructura del dispositivo escaneado.

Cuando sea necesario éstos dispositivos infectados, guardados en una base de datos de un servidor, reciben comandos que deben ejecutar y con ello se aprovecha el poder de procesamiento distribuido, que es la principal razón para crear una BotNet, en este caso específico convirtiendo el ataque DoS en DDoS(Distributed Denial of Service).

Contexto

El fenómeno de las Botnets se rastrea a este evento, con él se crean referentes de la clase de ataques que utilizan ésta infraestructura como herramienta.

 What is a botnet? A definition + overview | Norton

Un 1ro de Agosto de 2016 a las 1:42 AM en estados unidos, con un escaneo de 2 horas comienza con una población de 25 000 dispositivos y llega a los 64 000 en su primer día.

3

[pic 7]

El caso Mirai fue conocido en 2016 con el ataque a OVH(Malware Must Die!: MMD-0056-2016 - Linux/Mirai, how an old ELF malcode is recycled..)una empresa que está especializada en ofrecer servicios para internet y donde se alojan 20 de las 500 empresas más importantes de Europa. Dicha empresa recibió un ataque que generaba una carga de 1Tbps desde 145 000 dispositivos infectados a la vez

Si se rastrean las modificaciones de versiones de mirai, comienza sólo probando el puerto 23, de telnet y las credenciales por defecto; En Septiembre de 2016 Mirai comenzó a utilizar el puerto 2323 para probar el acceso, en el video se menciona que es “telnet port for IoT”, pero en internet se refieren a ese puerto como el “respaldo” del telnet(23), uno de los picos de población más altos que logró Mirai fue cuando probó el puerto 7547(CPE WAN Management Protocol Technical Report), logrando una población de 600 mil dispositivos, pero esa población decayó y a inicios de 2017 se encontraba de nuevo entre los 200 y 300 mil dispositivos, habiendo probado 9 protocolos distintos.

4

[pic 8]

El tamaño de la red Mirai puede inclusive considerarse modesta si se compara con el de Carna(https://en.wikipedia.org/wiki/Carna_botnet).

La distribución de la red, geográficamente el 50% de los dispositivos están en Sudamérica y en el Sur de Asia.

Comparada quizá con la red TDSS/TDL4 cuya distribución tiene el 94% de los dispositivos en Norte América y Europa.

En cuanto a los objetivos que la red buscaba, esta se conforma de diccionarios diseñados para Camaras y DVR(57%), Routers(9%), Impresoras(4%),VOIP(2%),contraseñas por defecto en dispositivos desconocidos(23%).

...