Mirai maakt nieuwe slachtoffers

Deutsche Telekom legde de schuld bij de malware van Milai, die al meer dan 500.000 internetdevices infecteerde, waaronder DVR’s en beveiligingscamera’s.

Ontworpen voor kwetsbaarheden in routers 

Volgens Johannes Ullrich, een onderzoeker van de SANS Technology Instituut die gespecialiseerd is in security, kende de kwaadwillende malware een upgrade. Ullrich observeerde de infecties en ontdekte dat de malware specifiek ontworpen is om te profiteren van kwetsbaarheden in routers van Zyxel.

Zwakke logins

Van nature richt Milai zich op devices met zwakke logins en wachtwoorden, door ze via het internet op te sporen en uit te proberen aan de hand van een lijst met 60 wachtwoordcombinaties. Een fout in de SOAP (Simple Object Access Protocol) in Zyxel routers staat de malware toe de devices over te nemen.

4 tot 5 procent had last van malware

Hoeveel devices werden geïnfecteerd is onbekend, maar volgens Deutsche Telekom hadden zo’n 900.000 van de 20 miljoen klanten last van problemen met hun internetconnectie. De malware beoogde alle routers te infecteren, maar was uiteindelijk succesvol met 4 tot 5 procent.

Honeypot

Ullrich wist echter bloot te leggen dat de malware enkele devices wist te strikken. Om de spreiding van de malware te kunnen volgens, gebruikte hij een webserver die figureert als honeypot. Niet lang erna waagden al 100.000 IP-adressen een poging hem te infecteren.

Massieve aanvallen

Infecteren is niet het enige doel van Mirai. Met de controle over duizenden apparaten, kan de malware een botnet vormen en massieve denial-of-service-aanvallen uitvoeren.

DDoS-aanvallen

Afgelopen maand zorgden door Mirai besmette devices voor een internetuitval van vooraanstaande Amerikaanse websites. De DDoS-aanval wist haar doel te bereiken door een DNS-service provider met internet-traffic 

Computervermogen van de router

Ullrich zegt geen DDoS-aanvallen te hebben waargenomen. De internetverbindingsproblemen voor de klanten van Deutsche Telekom kwamen hoogstwaarschijnlijk doordat de malware de device infecteerde, die op haar beurt het computervermogen van de router gebruikte om de infectie te verspreiden.

Andere bedrijven waarschijnlijk ook slachtoffer

Deutsche Telekom biedt haar klanten advies hoe ze de infectie moeten verwijderen. Ullrich denkt dat routers van andere bedrijven of providers ook slachtoffer werden van het virus, maar daar simpelweg nog niet achter zijn.