Varian baru dari malware botnet berbasis Mirai Aquabot telah diamati secara aktif mengeksploitasi CVE-2024-41710, kerentanan injeksi komando di ponsel SIP mitel.
Kegiatan ini ditemukan oleh tim intelijen dan respons keamanan Akamai (SIRT), yang melaporkan bahwa ini adalah varian ketiga dari Aquabot yang berada di bawah radar mereka.
Keluarga malware diperkenalkan pada tahun 2023, dan versi kedua yang menambahkan mekanisme kegigihan dirilis kemudian. Varian ketiga, ‘aquabotv3,’ memperkenalkan sistem yang mendeteksi sinyal terminasi dan mengirimkan info ke server perintah-dan-kontrol (C2).
Akamai berkomentar bahwa mekanisme Aquabotv3 untuk melaporkan kembali upaya pembunuhan tidak biasa untuk botnet dan mungkin telah ditambahkan untuk memberikan operator yang lebih baik pemantauan.
Sumber: Aktris
Menargetkan ponsel mitel
CVE-2024-41710 adalah cacat injeksi komando yang berdampak pada Seri Mitel 6800, Seri 6900, dan Seri SIP SIP 6900W, biasanya digunakan di kantor perusahaan, perusahaan, lembaga pemerintah, rumah sakit, lembaga pendidikan, hotel, dan lembaga keuangan.
Ini adalah cacat medium-severitas yang memungkinkan penyerang yang diautentikasi dengan hak istimewa admin untuk melakukan serangan injeksi argumen karena sanitasi parameter yang tidak mencukupi selama proses boot, menghasilkan eksekusi perintah yang sewenang-wenang.
Mitel merilis perbaikan dan a Penasihat Keamanan Tentang cacat ini pada 17 Juli 2024, mendesak pengguna untuk meningkatkan. Dua minggu kemudian, peneliti keamanan Kyle Burns menerbitkan Proof-of-Concept (POC) di GitHub.
Penggunaan AQUABOTV3 dari POC ini untuk mengeksploitasi CVE-2024-41710 dalam serangan adalah kasus terdokumentasi pertama yang memanfaatkan kerentanan ini.
“Akamai Sirt mendeteksi upaya eksploitasi yang menargetkan kerentanan ini melalui jaringan honeypots global kami pada awal Januari 2025 menggunakan muatan yang hampir identik dengan POC,” menjelaskan para peneliti.
Fakta bahwa serangan memerlukan otentikasi menunjukkan bahwa botnet malware menggunakan perampokan brute untuk mendapatkan akses awal.
Penyerang membuat permintaan HTTP Post yang menargetkan titik akhir rentan 8021xsupport.html, yang bertanggung jawab atas pengaturan otentikasi 802.1x di ponsel SIP Mitel.
Aplikasi ini secara tidak benar memproses input pengguna, yang memungkinkan data cacat dimasukkan ke dalam konfigurasi lokal telepon (/nvdata/etc/local.cfg).
Melalui injeksi karakter akhir garis ( %DT → %0D), penyerang mencapai manipulasi tentang bagaimana file konfigurasi diuraikan selama boot perangkat untuk menjalankan skrip shell jarak jauh (bin.sh) dari server mereka.
Script ini mengunduh dan menginstal muatan aquabot untuk arsitektur yang ditentukan (x86, lengan, mips, dll), menetapkan izin eksekusi menggunakan ‘chmod 777,’ dan kemudian membersihkan jejak apa pun.
Aktivitas aquabotv3
Setelah kegigihan dipastikan, AquabOtv3 terhubung ke C2 -nya melalui TCP untuk menerima instruksi, perintah serangan, pembaruan, atau muatan tambahan.
Selanjutnya, ia mencoba untuk menyebar ke perangkat IoT lainnya menggunakan Mitel Exploit, CVE-2018-17532 (TP-Link), CVE-2023-26801 (IoT Firmware RCE), CVE-2022-31137 (Web App RCE), LinkSys E E. -Series RCE, Hadoop Yarn, dan CVE-2018-10562 / CVE-2018-10561 (Dasan Router Bugs).
Malware ini juga mencoba untuk brute force default atau kredensial SSH/telnet yang lemah untuk menyebar ke perangkat yang tidak diamankan dengan buruk di jaringan yang sama.
Tujuan AquabOtv3 adalah untuk meminta perangkat pada distribusi penolakannya (DDOS) mengerumuni dan menggunakannya untuk melakukan tcp syn, tcp ack, udp, ip gre, dan serangan lapisan aplikasi.
Operator botnet mengiklankan kemampuan DDOS -nya di Telegram dengan nama CursinIQ Firewall, Layanan Mata, dan Eye Botnet, menyajikannya sebagai alat pengujian untuk langkah -langkah mitigasi DDOS.
Akamai telah mendaftarkan indikator kompromi (IOC) yang terkait dengan aquabotv3, serta aturan Snort dan Yara untuk mendeteksi malware, di bagian bawah laporannya.
