Wykrywanie zainfekowanego urządzenia
Te urządzenia zamienione w botnet będą nadal działały poprawnie dla niczego niepodejrzewającego właściciela, z wyjątkiem sporadycznej powolnej przepustowości, a ich zachowanie botnetu może pozostać niezauważone przez czas nieokreślony.
Webroot.com: Wydano kod źródłowy złośliwego oprogramowania Mirai IoT
To mówi nam, jak urządzenie zmienia swoje zachowanie. Sporadyczne spowolnienie przepustowości jest niestety naprawdę złym wskaźnikiem, na który należy zwrócić uwagę. Inną rzeczą, którą robi Mirai, jest blokowanie portów, aby uniknąć narzędzi monitorujących w celu ich wykrycia.
Tych dwóch funkcji można szukać. Pierwsze z nich wymaga bardzo wyrafinowanego rozwiązania do monitorowania ruchu sieciowego i dogłębnej wiedzy o tym, jakiego rodzaju ruchu oczekujesz w sieci. Jeśli twoje urządzenie IoT nie komunikuje się za pośrednictwem połączenia Wi-Fi, ale za pośrednictwem 3G lub innych standardów telekomunikacji mobilnej, nie masz szczęścia, ponieważ nie możesz ich monitorować. Przynajmniej nie łatwo, aw większości jurysdykcji nie legalnie.
Drugą funkcją Mirai jest to, co Incapsula również skanuje. Jeśli porty są zamknięte, możliwa jest infekcja Mirai. Ponieważ ponowne uruchomienie tymczasowo uwalnia urządzenie ze sprzęgieł Mirai, zmiana dostępności portów w czasie po ponownym uruchomieniu może być traktowana jako bardzo prawdopodobny znak, że urządzenie zostało naruszone.
Należy pamiętać, że Incapsula nie zapewnia pewności, a jedynie podaje informacje o urządzeniach, które są potencjalnymi celami i urządzeniach, które mogły zostać zainfekowane. Dlatego ważne jest, aby zdać sobie sprawę, że Mirai bez względu na to, jak potężne ataki potrafi wyrządzić, nie jest nieprzyjacielskim wrogiem na małym zasięgu, łatwo jest nawet zapobiec infekcjom.
Następne dwie sekcje pokażą, że wykrywanie to zdecydowanie za dużo wysiłku w porównaniu do zabezpieczenia urządzenia w pierwszej kolejności lub zabezpieczenia urządzenia na przeczucie.
Odzyskiwanie urządzenia
Jednak Mirai działa jako punkt końcowy sieci botów, a robak nie zmienia trwałej pamięci urządzenia IoT. Oznacza to, że oprogramowanie układowe nie jest zainfekowane. To jest powód, dla którego ponowne uruchomienie i natychmiastowa zmiana hasła daje ci kontrolę nad urządzeniem.
Zainfekowane systemy można wyczyścić, uruchamiając je ponownie, ale ponieważ skanowanie tych urządzeń odbywa się ze stałą szybkością, możliwe jest, że zostaną one ponownie zainfekowane w ciągu kilku minut od ponownego uruchomienia. Oznacza to, że użytkownicy muszą zmienić domyślne hasło natychmiast po ponownym uruchomieniu lub uniemożliwić urządzeniu dostęp do Internetu, dopóki nie będą mogli zresetować oprogramowania wewnętrznego i zmienić hasła lokalnie.
Webroot.com: Wydano kod źródłowy złośliwego oprogramowania Mirai IoT
Unikaj przede wszystkim narażania się na szwank
Mirai nie hakuje twoich urządzeń!
Mirai nieustannie skanuje internet w poszukiwaniu urządzeń IoT i loguje się do nich przy użyciu domyślnych lub fabrycznie zapisanych nazw użytkowników i haseł.
Webroot.com: Wydano kod źródłowy złośliwego oprogramowania Mirai IoT
Mirai używa fabrycznych domyślnych danych logowania, aby zagrozić twoim urządzeniom. Zmień hasło przed pierwszym podłączeniem urządzenia IoT do Internetu, a będziesz mieszkał w strefie wolnej od Mirai.
Jeśli hasła urządzenia nie można zmienić i jest to potencjalny cel Mirai, rozważ przejście na konkurencję.