I 92 mila NAS D-link vulnerabili sono già attivamente "arruolati" nella botnet Mirai

Gli oltre 92 mila dispositivi NAS D-Link affetti dalla vulnerabilità CVE-2024-3273 di cui abbiamo parlato nei giorni scorsi, sono ora presi attivamente di mira da un attore di minaccia che sta diffondendo una variante del famigerato malware Mirai.

Come avevamo già spiegato in precedenza oltre alla vulnerabilità, che se opportunamente sfruttata permette di eseguire comandi arbitrari da remoto e prendere il controllo dei NAS, il problema principale è rappresentato dal fatto che i dispositivi interessati sono giunti da tempo nella fase End of Life e pertanto il produttore non emette più alcun aggiornamento.

Purtroppo una situazione come questa rappresenta una ghiotta opportunità per gli attori di minaccia: il malware Mirai ha normalmente l'obiettivo di "arruolare" i dispositivi che infetta in una botnet da utilizzare successivamente per attacchi su larga scala, tipicamente di tipo Distributed Denial of Service. Quale situazione migliore, per ingrassare le fila della botnet, di 92 mila dispositivi esposti su Internet a cui non può essere applicata nessuna patch correttiva?

I primi attacchi hanno preso il via nel corso della giornata di lunedì, poco dopo che la vulnerabilità è stata resa di pubblico dominio. Il ricercatore di sicurezza che ha scoperto la falla, l'ha condivisa due settimane fa con D-Link. Dal momento che i dispositivi non sono più supportati, la società suggerisce la loro sostituzione con modelli più recenti.

Il suggerimento che si può dare in questo caso, specie per chi non ha alcuna intenzione di affrontare un esborso economico per sostituire un dispositivo comunque funzionante, è quello di evitare la sua esposizione su Internet mantenendolo ben protetto all'interno di una rete locale. Solamente nel caso in cui l'esposizione su Internet sia necessaria per esigenze di accesso remoto ai dati sarà opportuno valutare altre soluzioni come la sostituzione del dispositivo o la sottoscrizione di un servizio di cloud storage che possa supplire alla necessità di aprire un NAS verso l'esterno.

AGGIORNAMENTO Lunedì 15 aprile 2024

D-Link Italia ha emesso una nota con la quale comunica che i modelli D-Link venduti sul mercato italiano e interessati dalla vulnerabilità sono stimabili in un numero inferiore alle 1800 unità. Di seguito i modelli interessati:

• DNS-320L dal 5 novembre 2012 al 13 novembre 2017 - ultimo aggioramento emesso il 13 novembre 2019
• DNS-325 dal 4 aprile 2011 al 26 gennaio 2015 - ultimo aggiornamento emesso il 25 gennaio 2017
• DNS-327L dall'11 luglio 2013 al 30 ottobre 2017 - ultimo aggiornamento emesso il 30 ottobre 2019
• DNS-340L dal 5 gennaio 2015 al 29 ottobre 2017 - ultimo aggiornamento emesso il 29 ottobre 2019.

D-link precisa inoltre che se i NAS non sono direttamente connessi a Internet o è presente un firewall di sicurezza, il rischio di essere esposti alla vulnerabilità segnalata è ridotto al minimo.