Asus Router Botnet Saldırısı 14 Bin Cihazı Ele Geçirdi

Siber güvenlik araştırmaları binlerce Asus yönlendiricisinin kötü amaçlı yazılım tarafından ele geçirilerek dev bir saldırı ağına dönüştürüldüğünü ortaya koydu. Lumen şirketine bağlı Black Lotus Labs ekibi tarafından yürütülen analiz, KadNap adı verilen zararlı yazılımın dünya genelinde en az 14 bin cihazı kontrol altına aldığını gösterdi. Uzmanlar saldırının büyüklüğünün Asus router botnet saldırısı riskini küresel ölçekte yeniden gündeme taşıdığını ifade ediyor.

Güvenlik Araştırması Binlerce Router Üzerinde Aynı Trafiği Tespit Etti

Black Lotus Labs ekibi ağ davranışlarını analiz eden bir algoritma sayesinde şüpheli iletişim trafiğini tespit etti. Güvenlik sistemi yaklaşık 10 bin Asus yönlendiricisinin aynı sunucu altyapısıyla iletişim kurduğunu fark etti. Analiz sonuçları kısa süre içinde çok daha geniş bir ağın varlığını ortaya çıkardı. KadNap zararlı yazılımının zaman içinde farklı ülkelerdeki cihazlara yayıldığı anlaşıldı. İncelenen veriler ABD, Birleşik Krallık, Avrupa ülkeleri ve Avustralya gibi bölgelerde geniş bir enfeksiyon alanı oluştuğunu gösterdi. Güvenlik raporu saldırının yalnızca yönlendiricileri değil bazı edge ağ cihazlarını da hedef aldığını ortaya koydu. Uzmanlar bu durumun IoT botnet saldırısı riskini büyüttüğünü belirtiyor.

KadNap adlı kötü amaçlı yazılım geleneksel komuta kontrol yöntemlerinden farklı bir teknik kullanıyor. Zararlı yazılım eşler arası ağ teknolojilerinde kullanılan Kademlia adlı dağıtık hash tablosu sisteminden yararlanıyor. Bu sistem BitTorrent gibi ağlarda kullanılan bir veri bulma yöntemi olarak biliniyor. KadNap zararlı yazılımı bu altyapıyı kullanarak komuta sunucusunun IP adresini gizlemeyi başarıyor. Uzmanlar bu yaklaşımın router botnet malware türleri arasında oldukça gelişmiş bir teknik olduğunu belirtiyor.

Black Lotus Labs raporuna göre enfekte cihazlar dağıtık ağ üzerinden birbirini buluyor ve yeni zararlı yükleri paylaşabiliyor. Bu yapı saldırı ağının merkezi bir sunucuya bağlı olmadan büyümesine imkân tanıyor.

Ele Geçirilen Cihazlar Siber Suçlulara Proxy Hizmeti Olarak Satılıyor

Güvenlik analizine göre KadNap bot ağı yalnızca saldırı amaçlı kullanılmıyor. Araştırma raporu saldırganların ele geçirilen cihazları proxy hizmeti olarak kiraladığını ortaya koydu. Doppelganger adı verilen hizmet aracılığıyla siber suçlular bu ağ üzerinden anonim trafik yönlendirebiliyor. Uzmanlar bu altyapının brute force saldırıları ve hedefli siber operasyonlar için kullanılabildiğini belirtiyor. Güvenlik çevreleri bu durumu router üzerinden siber saldırı faaliyetlerinin yeni bir boyuta ulaştığı şeklinde değerlendiriyor.

KadNap kötü amaçlı yazılımı yönlendiriciye yerleştikten sonra ek komut dosyaları indirerek botnet ağını genişletmeye başlıyor. Enfekte cihazlar daha sonra diğer sistemlerle iletişim kurarak yeni saldırı yüklerini paylaşabiliyor. Black Lotus Labs analizi saldırının komuta kontrol altyapısını gizlemek için özel olarak tasarlanmış bir P2P botnet altyapısı kullandığını gösterdi. Bu yapı sayesinde saldırı ağı tespit edilmesi zor bir iletişim modeli oluşturuyor.

Araştırma ekibi bu mimarinin güvenlik ekiplerinin tehdit listelerine komuta sunucularını eklemesini zorlaştırdığını ifade ediyor. Uzmanlar saldırganların bu yöntemi özellikle tespit mekanizmalarından kaçınmak için tercih ettiğini belirtiyor.

Siber güvenlik uzmanları kullanıcıların yönlendirici cihazlarını düzenli şekilde güncellemesi gerektiğini vurguluyor. Güvenlik ekipleri eski yazılım sürümlerinin saldırganlar için kolay hedef oluşturduğunu ifade ediyor. Uzmanlar kullanıcıların güçlü parola kullanması gerektiğini belirtiyor. Güvenlik ekipleri ayrıca destek süresi sona ermiş yönlendiricilerin değiştirilmesini öneriyor.

Black Lotus Labs raporu kurumların ağ trafiğini düzenli şekilde izlemesi gerektiğini vurguluyor. Güvenlik ekipleri özellikle şüpheli BitTorrent bağlantılarının ve beklenmeyen giriş denemelerinin dikkatle incelenmesi gerektiğini ifade ediyor.