تظهر الروبوتات من Mirai مع متغير MooBot لاستهداف أجهزة D-Link

[HalhulTech]

أبلغ باحثو الوحدة 42 من Palo Alto Networks عن ظهور نوع جديد من الروبوتات Mirai يُطلق عليه اسم MooBot. يبحث هذا المتغير عن أجهزة D-Link غير مسبوقة لإنشاء جيش من روبوتات DDoS (رفض الخدمة الموزع). من أجل اختراق أجهزة توجيه D-Link المعرضة للخطر ، يستخدم MooBot العديد من المآثر
​

إعادة ظهور MooBot سيئة السمعة​

تم اكتشاف الروبوتات MooBot لأول مرة بواسطة Netlab من Qihoo 360 في سبتمبر 2019 ، في حين تم اكتشاف أحدث موجة من الهجمات التي شملت MooBot ، قبل تلك التي اكتشفها Palo Alto ، بواسطة محللي Fortinet في ديسمبر 2021. حدد الباحثون أن MooBot استهدف عيبًا في Hikvision وأدرجت عددًا كبيرًا من الأجهزة في جيش DDoS الخاص بها.

في أوائل أغسطس ، اكتشف باحثو الوحدة 42 موجة هجوم جديدة. هذه المرة ، كانت أهداف MooBot عبارة عن أجهزة توجيه D-Link غير مسبوقة ، والتي تعرضت للخطر باستخدام مآثر قديمة وجديدة.
​

استغلال الثغرات الأمنية​

تستغل الروبوتات أربع نقاط ضعف مختلفة في أجهزة D-Link ، بما في ذلك ما يلي:

• CVE-2022-26258 (درجة CVSS: 9.8) - ثغرة أمنية في تنفيذ الأوامر عن بُعد من D-Link​
• CVE-2022-28958 (درجة CVSS: 9.8) - ثغرة أمنية في تنفيذ الأوامر عن بُعد من D-Link​
• CVE-2015-2051 (درجة CVSS: 10.0) - ثغرة أمنية في تنفيذ أوامر D-Link HNAP SOAPAction Header​
• CVE-2018-6530 (درجة CVSS: 9.8) - ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد لواجهة D-Link SOAP​

المصدر: Palo Alto Networks

في السابق كانت تستهدف مسجلات الفيديو الرقمية LILIN بصرف النظر عن أجهزة المراقبة بالفيديو Hikvision .
​

ماذا يحدث إذا تم اختراق الأجهزة؟​

وفقًا لباحثي الوحدة 42 ، يمكن للمهاجم أن يتحكم بشكل كامل في الأجهزة المخترقة. يمكنهم استخدامها لأداء العديد من الهجمات ، بما في ذلك تنفيذ التعليمات البرمجية عن بعد واسترداد حمولة MooBot من مضيف بعيد لتحليل التعليمات من خادم C2 وإطلاق هجمات DDoS . يمكنه أيضًا استهداف أرقام منافذ وعناوين IP محددة لـ DDoS.

نظرة عامة على الحملة (Palo Alto Networks)


أصدر D-Link تحديثات أمنية لمعالجة العيوب. ومع ذلك ، لا يزال هناك عدد لا يحصى من الأجهزة غير المصححة. لم يتم تصحيح الكثير من الثغرات الأمنية الأخيرة ( CVE-2022-26258 ، CVE-2022-28958 ) التي تم اكتشافها في مارس ومايو 2022.

يتيح التعقيد المنخفض للهجوم للثغرات الأمنية للمهاجم الحصول على تنفيذ التعليمات البرمجية عن بُعد ، وباستخدام أوامر عشوائية يمكنهم بسهولة الحصول على برنامج ضار ثنائي. من الجدير بالذكر أن عنوان C2 المستخدم في موجة الهجوم الحالية يختلف عن الموجة التي حددتها Fortinet.

من الضروري تطبيق التصحيحات في أسرع وقت ممكن والحفاظ على تحديث جهازك لمنع تهديد MooBot.


المصدر: hackread​