Satori Botnet erwacht neu: Warum ungepatchte Router neue DDoS-Bedrohung befeuern

Der Satori Botnet, eine Reemergence des berüchtigten Mirai, hat seit Ende Dezember neue Endpoints infiziert und signalisiert eine drohende DDoS-Bedrohung. Seine Mechanik zu verstehen, ist entscheidend für den Schutz Ihres Netzwerks.

Ein schlafender Botnet erwacht

Mirai, die ursprüngliche Inkarnation von Satori, erschütterte 2016 das US-Internet, indem es Millionen IoT Devices – Router, Security Kameras, Smart Thermostate – kommandierte, um den Fiber Backbone an der Ostküste zu crashen. Obwohl Satori nicht Mirai ist, teilt es dasselbe Ziel: Mass Device Exploitation für Large-Scale Attacks.

Im Gegensatz zu Mirai, das einen separaten Download vor Aktivierung erforderte, propagiert Satori autonom als Worm. Infizierte Hosts scannen offene Ports auf Routern und anderen IoT Devices, jagend nach spezifischen Vulnerabilities. Bis dato wurden drei Device Families als susceptible bestätigt:

• Huawei Home Gateway Router enthalten möglicherweise eine ungepatchte Remote Code Execution Flaw. Kein öffentlicher Fix existiert.
• Realtek Router haben eine ähnliche Schwäche, aber viele Models wurden gepatcht, was die Attack Surface reduziert.
• DASAN Networks, ein südkoreanischer Hersteller von ca. 40.000 Routern, erscheint vollständig vulnerable. Das Unternehmen hat noch nicht auf Forscher reagiert oder einen Patch released.

Betreiber dieser Devices sollten sie sofort isolieren, patchen oder ersetzen, um Exploitation zu verhindern.

Zusätzlich zu DDoS haben Satoris Operator den Botnet durch Cryptojacking monetarisiert. Indem sie Cryptocurrency Mining Software – spezifisch Claymore – targeteten, überschrieb Satori Wallet Adressen und leitete geminte Coins zu Angreifer Accounts um. Der Botnet hat bereits über 2.000 $ Wert an Ethereum abgesaugt.

Ein Multi-Purpose Botnet?

Die Dual Use von Satori für sowohl DDoS als auch Crypto-Mining suggeriert ein breiteres Threat Model. Kürzliche Attacks sahen Malicious Adware, die Visitor CPUs für Bitcoin Mining hijackte, und eine Gruppe, die Teslas Public Cloud via unsecured Kubernetes Console infiltrierte. Während ein einzelner Router minimal Processing Power hat, kann ein Netzwerk von Zehntausenden substantielle illicit Cryptocurrency generieren und Services disrupten.

Wie man Cryptojacking und DDoS Attacks im Auge behält

IoT Kompromittierung oder drohende DDoS Attack früh zu detektieren, ist essenziell. Traditionelle Netzwerk Blind Spots können Sie vulnerable lassen. AppNeta bietet Real-Time Visibilität in Traffic Patterns, hilft Ihnen, anomale Slowdowns zu spotten, die auf Cryptojacking oder koordinierte Attacke hindeuten mögen.

Sowohl Cryptojacking als auch DDoS degradieren Performance, reduzieren Produktivität und schaden Customer Experience. Um diesen Threats vorzubeugen, schedule ein kostenloses Demo mit AppNeta heute.