ShadowV2 Botnet Yazılımı AWS Kesintisini Test Fırsatı Olarak Kullandı

Araştırma ekipleri ekim ayında yaşanan büyük AWS kesintisi sırasında ShadowV2 adı verilen yeni bir Mirai türevi zararlı yazılımın IoT cihazlarını hedef aldığını tespit etti. ShadowV2 kısa süreli bir faaliyet gösterdi. Araştırmacılar saldırının kesinti süresine denk gelmesini test amacı taşıyan bir deneme olarak değerlendiriyor.

ShadowV2 Botnet Saldırılarını Geniş Bir Güvenlik Açığı Listesi Üzerinden Gerçekleştirdi

FortiGuard Labs ekibi saldırı trafiğini kesinti sırasında gözlemledi. Botnet sekiz farklı güvenlik açığını kullanarak yayılım sağladı. D-Link, TP-Link, TBK, DigiEver ve DD-WRT cihazları saldırıda yer aldı. D-Link için listelenen açıkların bir kısmı komut enjeksiyonu içeriyor. Üretici destek süresi bitmiş modeller için yama geliştirmeyeceğini açıkladı. TP-Link tarafındaki açık için beta bir ürün yazılımı hazırlandığı duyuruldu.

Araştırmacılar saldırıların 198[.]199[.]72[.]27 adresinden yayıldığını bildirdi. Router, NAS ve DVR modellerinin saldırı listesinde bulunduğu aktarıldı. Etki alanının Amerika kıtası, Avrupa, Afrika, Asya ve Avustralya’da görüldüğü ifade edildi. ShadowV2 kendisini “ShadowV2 Build v1.0.0 IoT version” olarak tanıttı. Yapı Mirai’nin LZRD varyantıyla benzer özellikler taşıdı. Zararlı yazılım XOR kodlamalı yapılandırma sayesinde dosya yolu bilgilerini gizledi. Dağıtım aşamasında binary.sh isimli bir indirme betiği kullanıldı.

Botnet UDP, TCP ve HTTP üzerinden farklı saldırı türleri üretti. Komut kontrol altyapısı botlara saldırı komutlarını iletti. Saldırı yöntemi dolandırıcılık amaçlı DDoS kiralamalarında yaygın şekilde kullanılıyor. ShadowV2’nin arkasındaki aktörün hedefi henüz net değil. Araştırmacılar test amacına yakın bir senaryo üzerinde duruyor.

FortiGuard Labs raporun sonunda IoC listesini paylaştı. Güvenlik ekipleri ürün yazılımı desteği kesilmiş cihazlarla ilgili ciddi riskler olduğunu hatırlattı. Kullanıcıların IoT cihazlarını düzenli güncellemesi gerektiği vurgulandı.