Хакеры создали новый ботнет, собирающий уязвимые видеорегистраторы DigiEver, маршрутизаторы TP-Link и Teltonika

Хакеры создали новый ботнет на базе другого известного ботнета Mirai, эксплуатирующий уязвимость удалённого выполнения кода, которая ещё не была присвоена идентификатор. Предполагается, что проблема присутствует в популярных сетевых видеорегистраторах модели DigiEver DS-2105 Pro и маршрутизаторах линейки TP-Link с устаревшей прошивкой.

Эксперты по информационной безопасности из профильной компании Akamai заявили, что обнаруженный ботнет начал активно эксплуатировать уязвимости примерно в середине ноября 2024 года. Помимо уязвимости DigiEver, новый вариант вредоносного ПО Mirai также нацелен на уязвимость CVE-2023-1389 на устройствах TP-Link и CVE-2018-17532 на маршрутизаторах Teltonika RUT9XX.

Уязвимость, используемая для взлома сетевых видеорегистраторов DigiEver, представляет собой уязвимость удалённого выполнения кода (RCE). Хакеры нацелились на URI «/cgi-bin/cgi_main.cgi», который неправильно проверяет вводимые пользователем данные. Это позволяет удалённым неаутентифицированным злоумышленникам вводить команды типа «curl» и «chmod» через определённые параметры, например поле ntp в HTTP-запросах POST.

С помощью инъекции команд злоумышленники получают двоичный файл вредоносного ПО с внешнего сервера и включают устройство в свою ботнет. Устойчивость достигается путём добавления заданий cron. После взлома устройства оно используется для проведения распределённых атак типа «отказ в обслуживании» (DDoS) или для распространения на другие устройства с использованием наборов эксплойтов и списков учётных данных.

По словам экспертов Akamai, новый вариант Mirai примечателен использованием шифрования XOR и ChaCha20, а также ориентирован на широкий спектр системных архитектур, включая x86, ARM и MIPS.

Исследователи отмечают, что ботнет также использует уязвимость CVE-2018-17532 в маршрутизаторах Teltonika RUT9XX, а также CVE-2023-1389, которая затрагивает устройства TP-Link.