AIRASHI Botnet
פגיעות של יום אפס בנתבי cnPilot של Cambium Networks הפכה לכלי העדכני ביותר עבור פושעי סייבר הפורסים גרסת בוטנט AISURU הידועה בשם AIRASHI. מסע פרסום זה, פעיל מאז יוני 2024, מנצל את הפגם כדי לתזמר התקפות חזקות של מניעת שירות מבוזרת (DDoS). חוקרי אבטחה מנעו פרטים לגבי הפגיעות כדי להגביל את השימוש לרעה בה בזמן שהחקירות נמשכות.
תוכן העניינים
היסטוריה של פגיעויות מנוצלות
הבוטנט של AIRASHI אינו מוגבל לוקטור התקפה בודד. הוא מנצל סדרה של פגיעויות, כולל CVE-2013-3307, CVE-2016-20016, CVE-2017-5259, CVE-2018-14558, CVE-2020-25499, CVE-2020-85202, CVE-3515, CVE-2022-40005, CVE-2022-44149, CVE-2023-287 ופגמים נוספים שנמצאו במצלמות IP AVTECH, מכשירי DVR של LILIN ומכשירי שנזן TVT. על ידי ניצול הספקטרום הרחב הזה של חולשות, AIRASHI ממשיכה להגדיל את טווח ההגעה והתחכום שלה.
יכולות התקפה DDoS: מבט מקרוב
המפעילים שמאחורי AIRASHI לא מתביישים בפעילותם, ומפרסמים תוצאות בדיקה של יכולות ה-DDoS של הבוטנט שלהם בטלגרם. נתונים היסטוריים חושפים כי יכולת התקיפה שלו מתייצבת סביב 1-3 Tbps. מבחינה גיאוגרפית, רוב המכשירים שנפגעו נמצאים בברזיל, רוסיה, וייטנאם ואינדונזיה. עם זאת, היעדים מרוכזים באזורים כמו סין, ארצות הברית, פולין ורוסיה, שם הפעולות המזיקות של ה-botnet גרמו למרבית ההפרעות.
האבולוציה של AISURU ל-AIRASHI
AIRASHI נובעת מרשת הבוטים AISURU, שזוהתה בעבר באוגוסט 2024 במהלך התקפת DDoS בעלת פרופיל גבוה על Steam, שחפפה עם יציאת המשחק Black Myth: Wukong. לאחר הפסקת פעילותה זמנית בספטמבר 2024, הבוטנט הופיע מחדש עם תכונות מעודכנות בשם הקוד "קיטי" ושופץ עוד יותר כ-AIRASHI עד נובמבר.
רשת בוט דו-תכליתית: AIRASHI-DDoS ו-AIRASHI-Proxy
AIRASHI פועלת בשתי צורות שונות:
- AIRASHI-DDoS : זוהתה בסוף אוקטובר 2024, גרסה זו מתמקדת בהתקפות DDoS אך מרחיבה את היכולות שלה כך שתכלול ביצוע פקודות שרירותי וגישה הפוכה למעטפת.
- AIRASHI-Proxy : וריאציה זו, שנחשפה בדצמבר 2024, מוסיפה פונקציונליות פרוקסי, ומאותתת על גיוון של שירותים מעבר לפעולות DDoS.
קידום תקשורת והצפנה
כדי להבטיח תפעול מאובטח ויעיל, AIRASHI משתמשת בפרוטוקול רשת חדש הממנף אלגוריתמי ההצפנה HMAC-SHA256 ו-CHACHA20. בעוד AIRASHI-DDoS תומך ב-13 סוגי הודעות נפרדים, AIRASHI-Proxy משתמש בגישה יעילה יותר עם חמישה. בנוסף, רשת הבוט מתאימה באופן דינמי את השיטות שלה לאחזור פרטי שרת Command-and-Control (C2) באמצעות שאילתות DNS.
Botnets והתקני IoT: איום סייבר מתמשך
הממצאים מדגישים את הניצול המתמשך של פושעי סייבר בפרצות מכשירי IoT. מכשירי IoT משמשים גם כנקודת כניסה לשחקנים גרועים וגם כבסיס לבניית רשתות בוטים חזקות. על ידי מינוף מכשירים שנפגעו אלה, גורמי איומים מעצימים את כוחן של התקפות DDoS, ומציגים את הצורך הקריטי באבטחת מכשירים משופרת באקו-סיסטם ה-IoT.
