Comment sécuriser votre routeur contre les attaques de botnet Mirai

Les cybercriminels emploient une stratégie particulière pour amplifier leurs attaques : l'utilisation de réseaux de robots, communément appelés botnets.

Un botnet désigne un ensemble d'ordinateurs compromis par des logiciels malveillants, qui sont ensuite contrôlés à distance par un acteur mal intentionné. Cet individu, orchestrant un groupe d'appareils infectés, est appelé "bot herder". Chaque appareil touché est désigné comme un "bot".

Ces "bot herders" manipulent les machines infectées, leur permettant de mener des cyberattaques d'une ampleur considérablement accrue. Les botnets ont été fréquemment employés dans le cadre d'attaques par déni de service (DoS), de phishing, d'envoi de spam et de vol de données.

Le logiciel malveillant Mirai Botnet s'est illustré par sa capacité à détourner des appareils numériques pour créer d'immenses réseaux de bots. Mirai cible et exploite les faiblesses des appareils connectés à Internet (IoT) fonctionnant sous Linux.

Une fois l'infection réalisée, Mirai transforme un appareil IoT en un bot contrôlé à distance, utilisable au sein d'un botnet pour lancer des cyberattaques massives. Mirai est codé en langage C et GO.

Ce malware a gagné en notoriété en 2016, lors d'une attaque par déni de service distribué (DDoS) contre DYN, un fournisseur de système de noms de domaine. Cette attaque a empêché l'accès à des sites tels que Airbnb, Amazon, Twitter, Reddit, Paypal et Visa, entre autres.

Le malware Mirai a également été identifié comme responsable d'attaques DDoS contre le site de cybersécurité Krebs on Security et la société française de cloud computing OVHCloud.

Genèse de Mirai

Le logiciel malveillant Mirai a été créé par Paras Jha et Josiah White, alors étudiants d'une vingtaine d'années et fondateurs de ProTraf Solutions, une entreprise proposant des services d'atténuation DDoS. Le malware Mirai a été développé en utilisant les langages de programmation C et Go.

Initialement, Mirai avait pour but de mettre hors service les serveurs Minecraft concurrents par des attaques DDoS, dans l'objectif d'attirer davantage de clients en éliminant la concurrence.

Par la suite, leur utilisation de Mirai a évolué vers l'extorsion et le racket. Le duo lançait des attaques DDoS sur des entreprises, puis les contactait pour leur proposer des solutions d'atténuation DDoS.

Mirai Botnet a attiré l'attention des autorités et de la communauté de la cybersécurité après avoir été utilisé pour paralyser le site Web Krebs on Security, ainsi que lors de son attaque contre OVH. Avec la médiatisation de Mirai Botnet, ses créateurs ont diffusé le code source sur un forum de piratage public.

Cette action visait probablement à brouiller les pistes et à éviter d'être tenus responsables des attaques DDoS menées grâce à Mirai Botnet. Le code source de Mirai a été repris par d'autres cybercriminels, menant à l'émergence de variantes telles que Okiru, Masuta, Satori et PureMasuta.

Les concepteurs de Mirai Botnet ont finalement été arrêtés par le FBI, mais n'ont pas été incarcérés. Ils ont plutôt bénéficié de peines allégées en raison de leur coopération avec le FBI dans l'arrestation d'autres cybercriminels et la prévention de cyberattaques.

Fonctionnement du botnet Mirai

Une attaque via Mirai Botnet se déroule selon les étapes suivantes :

• Mirai Botnet commence par scanner les adresses IP sur Internet afin d'identifier les appareils IoT fonctionnant sous Linux et utilisant un processeur Arc. Il cible ensuite les appareils non protégés par un mot de passe ou utilisant des identifiants par défaut.
• Une fois les appareils vulnérables repérés, Mirai tente diverses combinaisons d'identifiants par défaut pour accéder au réseau de l'appareil. Si celui-ci utilise une configuration par défaut ou n'est pas protégé par mot de passe, Mirai se connecte et l'infecte.
• Mirai Botnet analyse ensuite l'appareil pour vérifier s'il est déjà infecté par un autre malware. Si tel n'est pas le cas, il supprime les autres logiciels malveillants, s'assurant d'être le seul sur l'appareil, et ainsi de le contrôler plus efficacement.
• L'appareil infecté devient alors un membre du botnet Mirai et peut être contrôlé à distance depuis un serveur central. Il attend simplement les instructions de ce serveur.
• Les appareils infectés servent ensuite à propager l'infection à d'autres appareils ou sont utilisés dans le cadre d'un botnet pour mener des attaques DDoS à grande échelle sur des sites web, des serveurs, des réseaux ou d'autres ressources accessibles via internet.

Il est important de noter que Mirai Botnet intégrait des plages d'adresses IP qu'il ne ciblait pas, notamment les réseaux privés et les adresses IP attribuées au Département de la Défense des États-Unis et au Service postal américain.

Types d'appareils ciblés par Mirai Botnet

Les appareils IoT équipés de processeurs ARC représentent la cible principale de Mirai Botnet. Selon Paras Jha, l'un des auteurs de Mirai, les routeurs étaient les appareils IoT les plus fréquemment infectés.

Cependant, d'autres appareils IoT utilisant des processeurs ARC figurent également sur la liste des victimes potentielles de Mirai Botnet.

Cela inclut les appareils domestiques connectés tels que les caméras de surveillance, les babyphones, les thermostats et les téléviseurs intelligents, les appareils portables comme les trackers de fitness et les montres connectées, ainsi que les appareils médicaux connectés tels que les moniteurs de glycémie et les pompes à insuline. Les appareils IoT industriels et médicaux équipés de processeurs ARC peuvent également être touchés.

Comment détecter une infection par le botnet Mirai

Mirai Botnet est conçu pour agir discrètement, rendant difficile la détection d'une infection sur votre appareil IoT. Néanmoins, certains indicateurs peuvent alerter sur une possible infection :

• Connexion internet ralentie : Mirai Botnet peut ralentir votre connexion internet, vos appareils IoT étant utilisés pour lancer des attaques DDoS.
• Trafic réseau anormal : Une augmentation soudaine du trafic réseau ou des requêtes envoyées vers des adresses IP inconnues peut être observée si vous surveillez régulièrement votre activité réseau.
• Performances réduites de l'appareil : Des comportements anormaux, tels que des arrêts ou des redémarrages inattendus, peuvent indiquer une possible infection.
• Modifications des configurations de l'appareil : Des changements dans les paramètres ou configurations par défaut de vos appareils IoT, dont vous n'êtes pas à l'origine, peuvent signaler une possible infection.

Bien qu'il existe des signes à surveiller, l'infection par Mirai Botnet est parfois difficile à déceler, le malware étant conçu pour être discret. La meilleure solution consiste donc à prévenir l'infection de vos appareils IoT.

Cependant, en cas de suspicion d'infection, il est recommandé de déconnecter l'appareil du réseau et de ne le reconnecter qu'une fois la menace éliminée.

Comment protéger vos appareils contre une infection par Mirai Botnet

La stratégie de Mirai Botnet repose sur la tentative d'accès à des appareils IoT en exploitant des configurations par défaut couramment utilisées par les utilisateurs.

Pour protéger vos appareils IoT contre Mirai Botnet, il est essentiel de ne pas utiliser les noms d'utilisateur et mots de passe par défaut.

Modifiez vos identifiants et optez pour des mots de passe complexes. Vous pouvez utiliser un générateur de mots de passe aléatoires pour obtenir des mots de passe uniques et difficiles à deviner.

Mettez régulièrement à jour le micrologiciel de vos appareils et installez les correctifs de sécurité dès qu'ils sont disponibles. Les fabricants publient souvent des correctifs pour remédier aux vulnérabilités découvertes.

Installer ces correctifs permet de se prémunir contre les attaques. Si votre appareil IoT offre un accès à distance, envisagez de le désactiver si vous n'avez pas besoin de cette fonctionnalité.

Vous pouvez également surveiller régulièrement l'activité de votre réseau et segmenter votre réseau domestique afin de ne pas connecter les appareils IoT aux réseaux critiques de votre domicile.

Conclusion

Bien que les créateurs de Mirai Botnet aient été appréhendés, le risque d'infection persiste. La diffusion publique du code source de Mirai a favorisé la création de variantes plus dangereuses, qui ciblent les appareils IoT et en prennent un contrôle plus complet.

Lors de l'achat d'appareils IoT, les fonctionnalités de sécurité proposées par le fabricant doivent être un critère de sélection essentiel. Privilégiez les appareils dotés de fonctions de sécurité prévenant les infections par des logiciels malveillants.

De plus, évitez l'utilisation des configurations par défaut, mettez régulièrement à jour le micrologiciel de vos appareils et installez les correctifs de sécurité dès qu'ils sont publiés.

Vous pouvez également vous renseigner sur les outils EDR pour détecter et répondre rapidement aux cyberattaques.