Attacco DDoS da una botnet di telecamere

Che la diffusione dei dispositivi Internet of Things stia portando ad una crescita delle minacce alla sicurezza informatica non è una novità: considerando il grande volume di dispositivi connessi non adeguatamente protetti, è solo questione di tempo perché ciascuno di essi possa essere compromesso da qualsiasi individuo anche con poche competenze di hacking.

Sebbene fino ad oggi non siano ancora circolate notizie di malware per apparati domestici, come frigoriferi o lavastoviglie, nel corso degli ultimi anni si è stati spettatori di una certa quantità di botnet create con dispositivi IoT, con quelle di telecamere a circuito chiuso (CCTV - closed circuit television) ad essere tra le più comuni. Nessuna sorpresa, dato che le IP-camera e le telecamere connesse sono tra i dispositivi IoT più diffusi.

La società di sicurezza Incapsula ha rilevato come proprio da una botnet di CCTV sia nato un attacco DDoS con una potenza di fuoco di picco di 20 mila richieste al secondo. Osservando la lista di IP dai quali è partito l'attacco, Incapsula è risalita ad un lungo elenco di telecamere CCTV tutte tranquillamente accessibili da remoto tramite le credenziali di accesso impostate all'uscita di fabbrica del dispositivo.

L'attacco in particolare è stato costituito da un flood di richieste HTTP GET originate da circa 900 CCTV sparse per il mondo. Il bersaglio è stato invece un grande servizio cloud che serve milioni di utenti attorno al mondo. Tutti i dispositivi compromessi operavano una distribuzione Linux embedded con BusyBox, una versione ridotta di utility Unix accorpate in un piccolo eseguibile e pensata per i dispositivi con risorse limitate.

In particolare il malware è un binario ELF per ARM, variante del già noto ELF-BASHLITE che effettua una scansione dei dispositivi che fanno uso di BusyBox e cerca servizi Telnet/SSH aperti che sono potenzialmente vulnerabili ad attacchi brute force dictionary per identificare le password d'accesso. La variante, in questo caso, è arricchita dalla possibilità di lanciare un attacco DDoS HTTP GET dai dispositivi compromessi.

L'accesso alle videocamere violate è avvenuto da varie località, a testimonianza di come siano state compromesse da più di una persona e di quanto sia facile localizzare e sfruttare questo tipo di dispositivi quando non sono protetti adeguatamente. Di qualsiasi dispositivo connesso si tratti, le credenziali di default devono essere cambiate durante l'installazione.