Botnet z tysięcy zainfekowanych routerów trudno usunąć – jednak istnieje skuteczna metoda zwalczania.

Zidentyfikowano nowy, wytrzymały botnet – KadNap

*Badacze z Black Lotus Labs (Lumen) odkryli szkodliwą sieć, która nadal działa pomimo prób jej usunięcia.*

Co znaleziono
- Botnet KadNap dotknął około 14 000 routerów i innych urządzeń sieciowych, w większości od producenta Asus.

- Wirus rozprzestrzenia się poprzez luki bezpieczeństwa, które nie zostały zamknięte przez właścicieli sprzętu.
Większość zainfekowanych urządzeń to modele Asus, ponieważ cyberprzestępcy znaleźli niezawodny exploit dokładnie dla tej linii.

Ocena zagrożenia
- Badacze uważają mało prawdopodobne wykorzystanie zerowych dni (luki nieznane do tej pory).

- W sierpniu zeszłego roku zainfekowanych było już 10 000 urządzeń, większość z nich znajdowała się w USA. Na Tajwanie, Hongkongu i Rosji również odnotowano kilka setek przypadków.

Technologia działania
KadNap wykorzystuje architekturę peer-to-peer Kademlia – rozproszone tabele haszujące, które ukrywają adresy IP serwerów zarządzających. To sprawia, że botnet jest trudny do wykrycia i prawie nieuszkodzony dla tradycyjnych metod usuwania.

> „Botnet wyróżnia się tym, że zamiast anonimowych proxy używa zdecentralizowanej sieci peer-to-peer”, – zauważają Chris Formos i Steve Radd z Black Lotus w blogu Lumen.
> „Intencją cyberprzestępców jest uniknięcie wykrycia i utrudnienie pracy specjalistów ds. bezpieczeństwa informacji.”

Jak reagują
- Pomimo odporności na zwykłe metody blokowania, Black Lotus opracowała sposób przerwania całego ruchu sieciowego między infrastrukturą zarządzającą botnetem a pozostałymi węzłami.

- Zespół publikuje wskaźniki kompromitacji w otwarte źródła, aby inne organizacje mogły szybko zablokować dostęp do KadNap.

W ten sposób KadNap stanowi skomplikowany, zdecentralizowany botnet, który wykorzystuje luki Asus i sieć peer-to-peer do ukrycia swojego zarządzania. Jednak specjaliści z Lumen już znaleźli sposób na zatrzymanie jego rozprzestrzeniania się i udostępniają narzędzia do ochrony sieci przed dalszą infekcją.