AIRASHI Botnet

Uma vulnerabilidade de dia zero nos roteadores cnPilot da Cambium Networks se tornou a ferramenta mais recente para criminosos cibernéticos que implantam uma variante de botnet AISURU conhecida como AIRASHI. Esta campanha, ativa desde junho de 2024, explora a falha para orquestrar poderosos ataques de Negação de Serviço Distribuída (DDoS). Pesquisadores de segurança ocultaram detalhes sobre a vulnerabilidade para limitar seu uso indevido enquanto as investigações estão em andamento.

Uma História de Vulnerabilidades Exploradas

O botnet AIRASHI não se limita a um único vetor de ataque. Ele arma uma série de vulnerabilidades, incluindo CVE-2013-3307, CVE-2016-20016, CVE-2017-5259, CVE-2018-14558, CVE-2020-25499, CVE-2020-8515, CVE-2022-3573, CVE-2022-40005, CVE-2022-44149, CVE-2023-287 e outras falhas encontradas em câmeras IP AVTECH, DVRs LILIN e dispositivos Shenzhen TVT. Ao explorar esse amplo espectro de fraquezas, o AIRASHI continua a aumentar seu alcance e sofisticação.

Capacidades de Ataque de DDoS: Um Olhar Mais Atento

Os operadores por trás do AIRASHI não são tímidos sobre suas atividades, postando resultados de testes das capacidades DDoS de sua botnet no Telegram. Dados históricos revelam que sua capacidade de ataque se estabiliza em torno de 1-3 Tbps. Geograficamente, a maioria dos dispositivos comprometidos está localizada no Brasil, Rússia, Vietnã e Indonésia. No entanto, os alvos estão concentrados em regiões como China, Estados Unidos, Polônia e Rússia, onde as operações prejudiciais da botnet causaram a maior interrupção.

A Evolução do AISURU para AIRASHI

AIRASHI deriva do botnet AISURU, que foi identificado anteriormente em agosto de 2024 durante um ataque DDoS de alto perfil no Steam, que coincidiu com o lançamento do jogo Black Myth: Wukong. Após interromper temporariamente suas operações em setembro de 2024, o botnet ressurgiu com recursos atualizados com o codinome "kitty" e foi posteriormente reformulado como AIRASHI em novembro.

Um Botnet de Dupla Finalidade: AIRASHI-DDoS e AIRASHI-Proxy

O AIRASHI opera em duas formas distintas:

• AIRASHI-DDoS : Detectado no final de outubro de 2024, esta variante se concentra em ataques DDoS, mas estende suas capacidades para incluir execução de comandos arbitrários e acesso reverso ao shell.
• AIRASHI-Proxy : Revelado em dezembro de 2024, esta variação adiciona funcionalidade de proxy, sinalizando uma diversificação de serviços além das operações DDoS.

Avançando na Comunicação e Criptografia

Para garantir operações seguras e eficientes, o AIRASHI emprega um novo protocolo de rede que aproveita os algoritmos de criptografia HMAC-SHA256 e CHACHA20. Enquanto o AIRASHI-DDoS suporta 13 tipos distintos de mensagens, o AIRASHI-Proxy usa uma abordagem mais simplificada com cinco. Além disso, o botnet ajusta dinamicamente seus métodos para recuperar detalhes do servidor Command-and-Control (C2) por meio de consultas DNS.

Botnets e Dispositivos IoT: Uma Ameaça Cibernética Persistente

As descobertas destacam a exploração persistente de vulnerabilidades de dispositivos IoT por criminosos cibernéticos. Dispositivos IoT servem tanto como um ponto de entrada para atores mal-intencionados quanto como a base para a construção de botnets robustas. Ao alavancar esses dispositivos comprometidos, os atores de ameaças amplificam o poder dos ataques DDoS, mostrando a necessidade crítica de segurança aprimorada de dispositivos no ecossistema IoT.