Mirai (ботнет)

Mirai не є першим хробаком та ботнетом для пристроїв типу «інтернет речей». Так, наприклад, в 2012 році був виявлений хробак Aidra, який спромігся вразити близько 30 тисячі пристроїв та був створений для організації розподілених атак на відмову в обслуговуванні (DDoS-атаки)[4]. В 2013 році вихідні коди хробака Aidra (LightAidra) були оприлюднені у вільному доступі[5].

Наприкінці листопада 2016 року пара хакерів стали пропонувати «поліпшений» та «розвинутіший» ботнет на основі Mirai в оренду за гроші. Згідно їх рекламі, вони додали можливість розповсюдження хробака через протокол SSH завдяки чому вдалось захопити близько 400 тисяч пристроїв[6]. Серед всього іншого, новоявлений хробак атакував системи, вражені хробаком Qbot та латав їх аби убезпечити від нього[7].

У вересні 2016 року після публікації статті про угрупування, які продають послуги ботнетів для здійснення DDoS-атак, вебсайт журналіста Брайана Кребса (англ. Brian Krebs) сам став жертвою DDoS-атаки, трафік якої на піку сягнув 665 Гб/с, що робить її однією з найпотужніших відомих DDoS-атак. Оскільки хостер сайту відмовився надалі безоплатно надавати свої послуги, сайт довелось на деякий час закрити поки не був знайдений новий хостер. Атака була здійснена ботнетом з інфікованих «розумних» відео-камер (що є підмножиною інтернету речей). У жовтні того ж року зловмисники оприлюднили вихідні тексти використаного шкідливого ПЗ (відоме під назвою Mirai), чим створили ризики неконтрольованого відтворення атак іншими зловмисниками[8][9].

Дослідження показали, що станом на 23 вересня, коли атака сягнула піку інтенсивності, в інтернеті можна було знайти понад 560 000 пристроїв вразливих до подібного типу атак[3].

В п'ятницю, 21 жовтня 2016 року сталась потужна розподілена атака на відмову в обслуговуванні проти Dyn DNS, оператора DNS в США. Атака відбувалась у дві хвилі, перша тривала з 11:10 UTC до 13:20 UTC, і друга в проміжку між 15:50 UTC та 17:00 UTC. Попри те, що інженерам вдалось оперативно вжити засобів для відбиття атаки, вона все ж таки позначилась на інтернет-користувачах. Наслідки атаки можна було помітити аж до приблизно 20:30 UTC того ж дня[10].

Обидві хвилі атакували сервери компанії, які знаходились в різних регіонах світу (від Азії й до Сполучених Штатів)[10].

Атака була підсилена спровокованим нею потоком повторних запитів (англ. DNS retry) від мільйонів різних комп'ютерів з усього світу. Спровоковані запити через IP та UDP на порт 53 перевищували нормальний трафік у 40-50 крат (без врахування тих запитів, які не змогли дістатись серверів компанії внаслідок вжитих захисних заходів та перевантаження каналів зв'язку)[10]. Внаслідок атаки виникли проблеми із доступом до багатьох вебсайтів, зокрема: Twitter, Etsy, Github, Soundcloud, Spotify, Heroku, та інші[11].

Проведене компанією розслідування показало, що кістяк атаки спирався на близько 100 тисяч пристроїв типу «інтернет речей» керованих варіантом шкідливого ПЗ Mirai[10].

На початку листопада 2016 року створений на основі Mirai ботнет (так званий Botnet 14) розпочав DDoS-атаку проти Ліберії. Країна отримала доступ до Інтернет завдяки єдиному оптоволоконному каналу ACE, прокладеному в 2011 році. Даний канал надає зв'язок для всього західного узбережжя Африки та має пропускну здатність до 5.1 ТБ/c. Нападникам вдалось тимчасово розірвати доступ цілої країни до Інтернету[12] .

В жовтні 2017 року інженери компанії Check Point оприлюднили доповідь про виявленого ними хробака, що атакує пристрої класу «інтернет речей» та утворює на їх основі ботнет. Новий хробак отримав назву IoTroop або Reaper. На відміну від Mirai, новий хробак покладається на щонайменше 9 відомих вразливостей у пристроях різних виробників. За оцінкою дослідників, новий хробак вразив пристрої у понад 1 млн організацій по всьому світу[13][14][15].