Tsunami botnet contro il protocollo SSH su server Linux: come proteggersi

La Tsunami botnet infetta server Linux SSH. Un threat actor sconosciuto sta infatti sferrando attacchi di forza bruta sui protocolli SSH dei server Linux.

Recentemente l’AhnLab Security Emergency Response Center (ASEC) ha scoperto una campagna di questo tipo, per hackerare i server Linux al fine di lanciare attacchi DDoS e fare cryptomining e cryotojacking di criptovalute Monero.

“Questa notizia solleva preoccupazioni legittime riguardo alle compromissioni dei server Linux SSH da parte di un attore, al momento, sconosciuto“, commenta Pierguido Iezzi, CEO di Swascan: “È importante sottolineare che le informazioni al momento emerse sono limitate, e ciò rende difficile comprendere appieno la portata e le implicazioni di queste compromissioni”.

Ecco cosa c’è da sapere e i consigli su come proteggersi, sapendo che “prima di addentrarci nel funzionamento specifico di tsunami, è importante comprendere il concetto di botnet”, chiarisce Gianluca Porcelli, Cybersecurity Analyst di Exprivia.

Tsunami botnet: hacker infettano i server Linux SSH

SSH (Secure Socket Shell) è un protocollo cifrato di network communication che si collega a macchine remote, supportando il tunneling, TCP port forwarding, trasferimento di file eccetera.

Gli amministratori di rete in genere usano il protocollo SSH per gestire i dispositivi Linux da remoto, svolgere task come far girare comandi, cambiare configurazioni, aggiornare software e risolvere problemi.

“Negli ultimi mesi in particolare, a causa varie chiusure e riaperture di siti e market per lo scambio di credenziali”,  continua Iezzi, “i criminal hacker hanno nuovamente puntato a massicce campagne combinate di botnet e infostealer per raccogliere credenziali e dati sensibili“.

L’obiettivo della campagna malware è infatti quello di installare un’ampia gamma di malware per rubare dati, oltre a Tsunami DDoS (distributed denial of service) bot, ShellBot, log cleaner, strumenti per scalare privilegi e il coin miner XMRig (Monero).

“La campagna lanciata con i server Linux ricalca, almeno relativamente agli scopi”, evidenza Iezzi, “molto di quanto già osservato dall’inizio del 2023. Come d’altronde era stato riportato dal Soc team Swascan nel suo ultimo report”.

Definizione di botnet

“Una botnet è una rete di dispositivi informatici compromessi, noti come bot o zombie”, spiega Gianluca Porcelli: “Questi dispositivi, una volta infettati dal malware, possono essere controllati in remoto dagli attaccanti, il cosiddetto botmaster. Le botnet vengono solitamente utilizzate per attività illecite come il furto di informazioni, l’invio di spam e gli attacchi distribuiti denial-of-service (DDoS)“.

Tsunami è dunque “una botnet recentemente scoperta, che ha suscitato grande preoccupazione nella comunità della sicurezza informatica”, avverte Gianluca Porcelli: “Si ritiene che Tsunami sia un’evoluzione delle precedenti botnet Mirai e Gafgyt, che hanno infestato Internet con la loro vasta flotta di bot. Tuttavia, Tsunami porta con sé nuove caratteristiche che la rendono ancora più pericolosa la minaccia ed ancora più difficile da individuarne le tracce di compromissione”.

“Si diffonde principalmente sfruttando vulnerabilità note in dispositivi facenti parte dell’Internet of Things (IoT). Questi includono router, telecamere di sorveglianza, dispositivi smart, e molti altri. Il malware Tsunami sfrutta falle di sicurezza nei dispositivi, che spesso non vengono aggiornati regolarmente dai loro proprietari. Una volta che un dispositivo è infettato, viene reclutato nella botnet Tsunami e inizia a eseguire i comandi del botmaster”, continua il Cybersecurity Analyst di Exprivia.

I dispositivi più a rischio

“I dispositivi maggiormente a rischio sono i router domestici e aziendali“, mette in guardia Gianluca Porcelli, “i quali possono essere bersagliati da Tsunami se presentano vulnerabilità, come password deboli o versioni obsolete del firmware, telecamere di sorveglianza, dispositivi smart come smart TV, sistemi di domotica, smart speaker e qualsiasi altro dispositivo IoT connesso a Internet che potrebbe avere vulnerabilità di sicurezza o dispositivi di archiviazione di rete quali NAS (Network Attached Storage) e altri dispositivi di archiviazione di rete possono essere bersagliati da Tsunami se presentano vulnerabilità che consentono l’accesso non autorizzato”. “Per non limitare l’attenzione sulla tipologia di dispositivi va esplicitato che tale minaccia incombe su dispositivi che utilizzano vari sistemi operativi, quali:

• Linux: Tsunami è noto per infettare dispositivi IoT basati su Linux, come router, telecamere di sorveglianza e dispositivi embedded. Questi dispositivi spesso utilizzano una versione personalizzata di Linux come sistema operativo;
• Windows: anche i dispositivi basati su Windows, come computer desktop, laptop e server, possono essere presi di mira da Tsunami se presentano vulnerabilità che consentono l’infezione;
• Android: Tsunami può anche mirare a dispositivi Android, poiché Android è basato su una versione modificata del kernel Linux. Tuttavia, gli attacchi su dispositivi Android di solito si concentrano su app di terze parti piuttosto che sul sistema operativo stesso;
• Altri sistemi operativi embedded: oltre a Linux, Tsunami può mirare anche ad altri sistemi operativi embedded utilizzati su dispositivi IoT, come FreeBSD, OpenWrt, e altri”.

Tsunami: le peculiarità della botnet

“Una delle caratteristiche distintive di Tsunami è il suo sistema di comandi e controllo (C&C) decentralizzato”, evidenzia Gianluca Porcelli: “Questo significa che invece di avere un unico server centrale che controlla l’intera botnet, Tsunami utilizza una rete distribuita di server C&C. Ciò rende più difficile, per gli esperti di sicurezza, individuare ed arginare la botnet, poiché non basta bloccare le comunicazioni verso un singolo punto di controllo.

Di seguito sono elencati i passi che compongono la kill chain relativa a questa minaccia:

• Ricerca dei dispositivi vulnerabili: Tsunami esegue una scansione massiva degli indirizzi IP alla ricerca di dispositivi IoT vulnerabili. Utilizza una lista predefinita di vulnerabilità conosciute, come password deboli o predefinite, porte aperte non necessarie o versioni di firmware obsolete.
• Sfruttamento delle vulnerabilità: una volta individuato un dispositivo vulnerabile, Tsunami sfrutta le falle di sicurezza per ottenere l’accesso. Questo può includere l’utilizzo di exploit noti o l’uso di tecniche di forza bruta per indovinare le password.
• Installazione del malware: dopo aver ottenuto l’accesso al dispositivo, Tsunami scarica e installa il suo malware. Questo può avvenire tramite il trasferimento di file tramite protocolli come FTP o TFTP, o attraverso l’esecuzione di comandi remoti per scaricare ed eseguire il malware direttamente nella memoria del dispositivo.
• Comunicazione con il server C&C: una volta installato, il malware si connette a uno dei server di comando e controllo (C&C) di Tsunami. Questi server sono distribuiti e possono essere ospitati su computer compromessi o su servizi di hosting anonimi, rendendo difficile il loro tracciamento.
• Ricezione dei comandi: una volta connesso al server C&C, il malware Tsunami riceve comandi dal botmaster. Questi comandi possono includere l’avvio di attacchi DDoS, l’esecuzione di altre attività dannose o l’aggiornamento del malware stesso.
• Propagazione interna: Tsunami cerca anche di propagarsi internamente nella rete a cui il dispositivo infetto è connesso. Esplora la sottorete e cerca di sfruttare altre vulnerabilità o dispositivi con password deboli per espandersi.
• Aggiornamenti e modifiche: il malware Tsunami può essere aggiornato o modificato dal server C&C in base alle necessità del botmaster. Questo permette una continua evoluzione e adattamento alle contromisure di sicurezza che potrebbero essere adottate”.

I dettagli tecnici

“È importante sottolineare che gli specifici dettagli tecnici dell’infezione da parte di Tsunami, possono variare nel tempo, poiché gli autori del malware apportano costanti modifiche per eludere la rilevazione e migliorare le loro capacità offensive”, illustra Gianluca Porcelli. “Rispetto ad attacchi della stessa tipologia vanno sottolineati alcuno aspetto ch differenziano Tsunami dagli attacchi precedenti impiegati:

• Sistema di command & control decentralizzato, come anticipato in precedenza.
• Tecnologie di evasione avanzate: Tsunami è stato progettato per evitare la rilevazione e le contromisure di sicurezza. Utilizza tecniche di evasione come l’utilizzo di algoritmi di crittografia per nascondere le comunicazioni tra il malware e i server C&C.
• Capacità di attacchi DDoS su larga scala: Tsunami è noto per la sua capacità di eseguire attacchi DDoS su larga scala. Sfruttando la vasta flotta di dispositivi infetti, Tsunami può generare un’enorme quantità di traffico mirato verso un obiettivo specifico, sovraccaricandolo e rendendolo inaccessibile. Questa capacità di generare un volume massiccio di richieste è una delle principali caratteristiche di Tsunami.
• Flessibilità e adattabilità: Tsunami ha dimostrato di essere un malware altamente adattabile. I suoi autori apportano costantemente aggiornamenti e modifiche al malware per evitare la rilevazione e migliorare le sue capacità offensive. Questo gli consente di adattarsi alle contromisure di sicurezza adottate dagli esperti di sicurezza e di rimanere una minaccia persistente nel panorama delle botnet”.

Come proteggersi

Le gang di cyber criminali operano in genere a caccia di opportunità di natura soprattutto finanziaria. Scoprono una vulnerabilità o individuano un punto di accesso in una rete, per penetrarlo e poi tentare di comprometterne dati e macchine.

L’interesse nelle criptovalute ha poi fatto si che sempre più malware siano ideati per minare moneta digitale, in particolare Monero. Secondo VMware TAU, quasi il 90% degli attacchi di cryptojacking coinvolge questa moneta virtuale.

Imprese ed organizzazioni dovrebbero adottare un approccio Zero Trust, per integrare la sicurezza in tutta la loro infrastruttura, affrontando così sistematicamente i vettori di minacce che, come la Tsunami botnet, servono per condurre un cyber attacco redditizio.

“In situazioni come queste”, conclude Pierguido Iezzi, “piattaforme di threat sharing come Threatland possono svolgere un ruolo cruciale nel fornire informazioni e condividere dati necessari a isolare in maniera più chirurgica il problema“.

Per difendersi da questi attacchi, gli utenti Linux dovrebbero usare account di password forti, per migliorare la cyber security, richiedere chiavi SSH per connettersi ai server SSH.

“Data la crescente minaccia di Tsunami e di altre botnet”, sottolinea Gianluca Porcelli, “è fondamentale prendere misure per proteggersi. Ecco alcuni suggerimenti per ridurre il rischio di infezione da Tsunami:

• Aggiorna regolarmente i dispositivi IoT con le ultime patch di sicurezza.
• Modifica le password predefinite sui dispositivi IoT e utilizza password forti e uniche.
• Monitora attentamente il traffico di rete per individuare eventuali comportamenti anomali.
• Utilizza soluzioni di sicurezza informatica affidabili, come firewall e sistemi di rilevamento delle intrusioni (IDS).
• Educa te stesso e gli utenti sulla sicurezza informatica, promuovendo l’adozione di pratiche consapevoli“.

“La botnet Tsunami rappresenta una minaccia significativa per la sicurezza in internet, sfruttando dispositivi IoT vulnerabili per eseguire attacchi DDoS su larga scala. La sua natura decentralizzata e le capacità di evasione, rendono difficile la sua identificazione ed eradicazione. Tuttavia”, conclude Gianluca Porcelli, “con una combinazione di aggiornamenti di sicurezza, monitoraggio
attento e consapevolezza, è possibile mitigare il rischio di infezione da Tsunami e da altre botnet. La sicurezza informatica richiede un impegno costante e collaborativo per fronteggiare le sfide poste dalle minacce del mondo digitale in continua evoluzione in termini di pericolosità e complessità“.