Mirai: jak kamery i lodówki znokautowały pół internetu

Nastolatkowie, którzy chcieli zarabiać na Minecraft

Paras Jha miał 21 lat, gdy razem z kolegami Joshem White'em i Danem Norganem uruchomił firmę oferującą ochronę serwerów Minecraft przed atakami DDoS. Problem w tym, że najlepszym sposobem na sprzedaż takiej usługi okazało się... atakowanie konkurencyjnych serwerów, żeby ich klienci przechodzili do Jhy. To klasyczny model, który w świecie przestępczości internetowej nazywa się protection racket – płacisz, żebyśmy przestali cię atakować.

Żeby atakować skutecznie, potrzebowali ogromnej mocy obliczeniowej. Zamiast wynajmować serwery, sięgnęli po zasób, o którym mało kto wtedy myślał jako o zagrożeniu: miliony tanich urządzeń podłączonych do internetu – kamer IP, rejestratorów wideo, routerów domowych i dekoderów telewizyjnych.

Armia kamer: jak powstał botnet Mirai

Latem 2016 roku Jha napisał złośliwe oprogramowanie, które nazwał Mirai (jap. przyszłość). Program skanował internet w poszukiwaniu urządzeń IoT zabezpieczonych fabrycznymi, domyślnymi hasłami typu admin/admin czy root/12345 – danymi, których nikt nigdy nie zmienił, bo większość sprzętu nie miała nawet ekranu do ich zmiany.

• Mirai testował zaledwie kilkadziesiąt najpopularniejszych kombinacji login-hasło
• Zainfekowane urządzenie samo zaczynało skanować sieć w poszukiwaniu kolejnych ofiar
• W szczycie botnet kontrolował ponad 600 tysięcy urządzeń na całym świecie
• Właściciele kamer i routerów przez cały czas nie mieli pojęcia, że ich sprzęt bierze udział w ataku

To była pierwsza tak masowa demonstracja tego, że miliardy urządzeń IoT – kamer, czujników, inteligentnych żarówek – to gotowa armia dla każdego, kto potrafi znaleźć w nich domyślne hasło.

21 października 2016 – dzień, w którym internet przestał działać

Twórcy Mirai nie mieli pojęcia, jaką siłę stworzyli, dopóki ich botnet nie trafił w ręce (i na fora) szerszego grona przestępców. Największym pokazem mocy stał się atak na firmę Dyn – dostawcę usług DNS, od którego zależało działanie setek popularnych serwisów.

Fala ruchu z setek tysięcy zainfekowanych kamer i routerów zalała serwery Dyn falami sięgającymi 1,2 terabita danych na sekundę – w tamtym czasie był to rekord w historii ataków DDoS. Skutek odczuł niemal cały wschodnie wybrzeże USA i spora część Europy.

Przez kilka godzin niedostępne lub bardzo wolne były między innymi Twitter, Netflix, Spotify, Reddit, Airbnb, PayPal i CNN. Nie dlatego, że te firmy padły – po prostu bez działającego DNS Dyn przeglądarki nie potrafiły znaleźć adresów ich serwerów.

Kod trafia do sieci i FBI depcze po piętach

Chcąc utrudnić śledczym namierzenie autorów, Jha opublikował kod źródłowy Mirai na forum hakerskim pod pseudonimem Anna-senpai. Zamiar był prosty: skoro kod krąży publicznie, trudniej udowodnić, kto stał za konkretnym atakiem. Efekt był odwrotny do zamierzonego – kod zaczęły wykorzystywać dziesiątki innych grup, tworząc kolejne fale ataków na całym świecie, a FBI dostało dodatkowy trop do analizy.

Śledztwo doprowadziło do trzech studentów. W 2017 roku przyznali się do winy. Zamiast więzienia dostali karę w postaci prac społecznych, grzywien i nadzoru – sądy doceniły, że współpracowali z FBI, pomagając namierzać inne grupy przestępcze wykorzystujące ich własny kod. Paras Jha spędził później czas pracując dla firm zajmujących się bezpieczeństwem, m.in. pomagając łagodzić skutki ataków opartych na jego własnym dziele.

Co Mirai zmieniło w zabezpieczeniach IoT

Atak na Dyn stał się przełomowym momentem dla branży bezpieczeństwa. Do tej pory kamery, routery domowe czy rejestratory traktowano jako sprzęt zbyt mało wartościowy, by ktokolwiek chciał go hakować. Mirai pokazał, że dla przestępcy liczy się nie wartość danych na urządzeniu, tylko jego moc obliczeniowa i łącze internetowe.

• Producenci zaczęli wymuszać zmianę domyślnego hasła przy pierwszym uruchomieniu urządzenia
• Kalifornia i Wielka Brytania wprowadziły przepisy zakazujące sprzedaży sprzętu IoT z uniwersalnymi hasłami fabrycznymi
• Powstały setki wariantów Mirai (Okiru, Satori, Masuta), które do dziś krążą po sieci
• DNS przestał być traktowany jako niewrażliwa infrastruktura – firmy zaczęły korzystać z wielu dostawców DNS równolegle

Lekcja dla małych i średnich firm

Mirai atakował głównie sprzęt domowy, ale mechanizm jest identyczny w każdej firmowej sieci: kamera monitoringu w biurze, drukarka sieciowa, smart TV w sali konferencyjnej czy tani rejestrator NVR z domyślnym hasłem to dokładnie taki sam łakomy kąsek. Żaden atak na Twittera nie musi się powtórzyć, żeby zainfekowane urządzenie w Twojej sieci zaczęło generować ruch, kopać kryptowaluty albo służyć jako punkt wejścia do ataku na resztę infrastruktury.

Podstawowa higiena wygląda tak samo jak w 2016 roku: zmiana domyślnych haseł na każdym urządzeniu, segmentacja sieci oddzielająca IoT od reszty infrastruktury i regularny przegląd tego, co w ogóle jest podłączone do firmowej sieci.