Уязвимости GeoVision IoT: угроза от ботнета Mirai обнаружена
Команда Akamai Security Intelligence and Response Team (SIRT) выявила активное использование уязвимостей CVE-2024-6047 и CVE-2024-11120 в устаревших устройствах GeoVision для Интернета вещей (IoT). Это тревожное открытие стало первым задокументированным случаем активного использования этих уязвимостей с момента их раскрытия в прошлом году.
Обнаружение уязвимостей
Уязвимости были впервые зарегистрированы в апреле 2025 года в сетях honeypots компании. Ботнет, ответственными за данные эксплойты, также нацелился на другие известные уязвимости, например, на уязвимость DigiEver, о которой сообщалось ранее.
Механизм атаки
Эксплойты, использующие внедрение команд, нацелены на конечную точку /DateSetting.cgi в устройствах GeoVision IoT. Злоумышленники вводят команды через параметр szSrvIpAddr, который не имеет адекватной фильтрации входных данных, что позволяет им удаленно выполнять произвольные системные команды без проверки подлинности.
Технические детали вредоносного ПО
Ботнет использует эксплойты для загрузки и запуска варианта вредоносного ПО Mirai, получившего название «boatnet» и идентифицированного как вариант LZRD. Вредоносная программа выделяется следующими характеристиками:
- Уникальный консольный вывод при запуске;
- Функциональные возможности, типичные для других вариантов Mirai.
Исследование инфраструктуры управления
Анализ инфраструктуры управления (C2) ботнета выявил жестко запрограммированный IP-адрес. Это исследование позволило обнаружить баннерное сообщение на некоторых портах сервера C2, указывающее на активное взаимодействие с ботнетом. Дальнейшие запросы показали закономерности, аналогичные ботнету InfectedSlurs, что может свидетельствовать о их потенциальной связи.
Риски и рекомендации
Эксперты предупреждают о значительных рисках, связанных с ботнетами на базе Mirai, особенно учитывая распространенность устаревших устройств IoT, для которых часто отсутствуют обновления безопасности. Многие производители прекращают выпускать исправления для вышедших из строя устройств, поэтому:
- Устройства GeoVision больше не будут получать обновлений;
- Уязвимости могут сохраняться в течение всего жизненного цикла устройств, что открывает возможности для киберпреступников.
Появление попыток эксплуатации устаревших устройств подчеркивает необходимость упреждающих мер кибербезопасности для защиты уязвимых технологий и предотвращения дальнейших атак.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
