По оценкам экспертов, в состав ботнета входит более 200 тыс. устройств.
https://www.securitylab.ru/upload/ib...49c7d5395d.jpg
Специалисты «Яндекса» и компании Qrator Labs поделились некоторыми подробностями о крупнейшей в истории рунета DDoS-атаке (более чем в 20 млн RPS), которой «Яндекс» подвергся в минувшие выходные. Атака не повлияла на работу сервисов интернет-гиганта, данные пользователей также не пострадали, заверили в компании.
Как отмечается, это лишь одна из многочисленных атак на компании по всему миру, за которыми стоит новый ботнет под названием Mēris (по-латышски «чума»). Признаки активности ботнета, предположительно состоящего из сетевых устройств, специалисты начали замечать в июне нынешнего года. По оценкам экспертов, в состав ботнета входит более 200 тыс. устройств, а для взаимодействия внутри сети используются обратные L2TP-туннели.
«У нас еще не было возможности изучить пример вредоносного кода, который используется для заражения новых устройств данного ботнета, и мы не готовы утверждать, относится он к семейству Mirai или нет. Пока считаем, что нет, поскольку устройства, объединенные под единым командным центром, похоже, относятся только к производителю Mikrotik», - отметили специалисты.
Особенности ботнета Mēris:
<ul><li>Использование конвейерной обработки (pipelining в HTTP/1.1) для организации DDoS-атак (подтверждено)</li>
</ul><ul><li>Атаки ориентированы на эксплуатацию RPS (подтверждено)</li>
</ul><ul><li>Открытый порт 5678 (подтверждено)</li>
</ul><ul><li>SOCKS4-прокси на зараженном устройстве (не подтверждено, хотя известно, что устройства Mikrotik используют SOCKS4)</li>
</ul>
Эксперты пока не могут сказать точно, какие именно уязвимости эксплуатируются для компрометации устройств. Не исключено, что взлом осуществляется посредством брутфорса.
По данным «Яндекса» и Qrator Labs, множество устройств в ботнете используют новые версии RouterOS вплоть до последней стабильной. Отмечается, что наибольшая доля приходится на устройства с предпоследней версией прошивки.
https://www.securitylab.ru/upload/ix...uctc7hkzvi.png