Malware infecteert 1 miljoen Internet of Things-apparaten
Onderzoekers hebben malware ontdekt die meer dan 1 miljoen Internet of Things-apparaten heeft besmet, zoals digitale videorecorders en ip-camera's, en gebruikt voor het uitvoeren van ddos-aanvallen tegen websites. De malware heeft verschillende namen, zoals Lizkebab, BASHLITE, Torlus en gafgyt.
Om kwetsbare apparaten te vinden worden er vanaf geïnfecteerde apparaten poortscans uitgevoerd. Zo wordt er naar Telnet-servers gezocht die op de apparaten actief zijn, om vervolgens via een brute force-aanval hier op in te loggen. De groep achter de malware maakt ook van externe scanners gebruik om kwetsbare apparaten te vinden. Bij deze methode proberen de aanvallers ook via kwetsbaarheden in de apparatuur en ssh op de toestellen in te loggen.
Onderzoekers van internetprovider Level 3 ontdekten meer dan 1 miljoen besmette apparaten, voornamelijk in Taiwan, Brazilië en Columbia. Een groot deel van deze apparaten zijn digitale videorecorders van fabrikant Dahua Technology. Van alle apparaten in de ddos-botnets was bijna 96% een Internet of Things-apparaat, waarvan waarvan 95% een ip-camera of digitale videorecorder. Zo'n 4% was een router en minder dan 1% een gehackte Linux-server.
"De veiligheid van Internet of Things-apparaten vormt een grote dreiging. Fabrikanten van deze apparaten moeten de veiligheid verbeteren om deze dreiging tegen te gaan", aldus de onderzoekers. Toch kunnen gebruikers maatregelen nemen, zoals het aanpassen van wachtwoorden en gebruik van veiligere protocollen. "Veel Internet of Things-apparaten laten je echter niet instellen welke diensten zijn blootgesteld en sommige gebruiken vaste wachtwoorden die niet zijn te veranderen, waardoor gebruikers weinig opties hebben", merken de onderzoekers verder op. Gezien de problemen verwachten de onderzoekers in de toekomst dan ook meer botnets die uit Internet of Things-apparaten bestaan.
Goedkoop is niet hetzelfde als bij-elkaar-geflanste gratis en open-source software. Goedkoop is gebruik maken van standaard login credentials zodat ontwikkelaars en testers (en later misschien remote support) niet belast worden met wachtwoord-beheer.
Het kan best snel en goedkoop omdat bijna alles volgens hetzelfde recept werkt. Dus het wiel hoeft echt niet steeds opnieuw uitgevonden te worden. Het is onkunde gekoppeld met klakkeloos kopieren van SW.
En verder, ja, alles moet toch 24 uur per dag online zijn nietwaar!
Tandenborstel, boormachine, koelkast, verlichting, energiemeter, gasmeter, babyphone, de hond en de kat, etc.
Het gaat kortom precies zoals iedere security specialist had aangegeven. De prikkel om veilige IoT apparaten te ontwikkelen bestaat niet, doordat
(a) de doorlooptijd voor time-to-market toeneemt
(b) de vereiste security kennis niet aanwezig is binnen dit soort bedrijven
(c) de consument het geen hout interesseert zolang zijn IoT tandenborstel maar niet in de fik staat
(d) de kosten voor veilige ontwikkeling te hoog worden
(e) ...
Gevolg: we krijgen massa's onveilige apparaten waarvan de zwakheden uitgebuit zullen worden, al is het maar voor de kick om een IoT koelkast uit te schakelen of een IoT deurbel constant af te laten gaan.
De ellende die we enkele decennia geleden bij besturingssystemen zagen (en af en toe nog steeds zien) zal ook bij de IoT apparaten gaan plaatsvinden. Er is geen enkele reden om aan te nemen dat dat niet zo is.
Dat vervolgens mitigerende maatregelen als "je moet het default wachtwoord van je tandenborstel aanpassen" of "je moet onveilige netwerkprotocollen disablen" kunnen worden gegeven is volstrekt lachwekkend en niet werkbaar. Ik zie mijn ouders al default wachtwoorden op hun IoT apparaten vervangen. Doe normaal zeg. En dan klagen mensen dat PGP niet te hanteren is? Dit probleem is vele malen erger. Er is maar één oplossing: geen IoT apparaten in huis. Er is geen behoefte aan bij veruit de meeste mensen. Het via Internet bereikbaar zijn van allerhande apparaten is een onnozel gadget dat als "the next best thing" wordt aangeprijsd, maar die niets anders is dan dat: een onnozel gadget dat in 9 van de 10 gevallen niets bijdraagt aan de functionaliteit van een product.
We zullen er nog veel plezier aan gaan beleven, aan dat IoT. Werk verzekerd. Goed nieuws.
Uiteraard moet het weer eens goed mis gaan voor men achter de feiten aan, een oplossing gaat (proberen te) bedenken.
Precies. Als bepaalde (server) besturingssystemen altijd perfect en simpel waren geweest dan waren er niet zoveel banen geweest in de ICT ;-)
Verder vraag ik me af waarom zoveel mensen als schapen achter elkaar aan lopen en hun privacy op straat gooien. Ik bedoel je koelkast aan Internet...
Begrijp me goed, ik ben een domotica en IoT enthousiasteling en heb van alles maar heb daar wel over nagedacht over mijn privacy en heb mijn beveiliging op orde (mag ik hopen... want dat is altijd maar een momentopname)
By the way, de 'T' van ioT mag wat mij betreft worden gelezen als 'Telemetry' en dat bestaat al zoooo lang. Er is niks nieuws aan, alleen door o.a. lagere kosten en draadloze dekking zijn de toepassingsmogelijkheden enorm toe genomen. Niks nieuws dus maar de marketing hype die rond dit fenomeen is gebouwd is wel goed voor jaren werk aan leuke dingen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
