Mirai: jak kamerki i routery zbudowały armię, która położyła pół internetu

21 października 2016 roku duża część internetu w Stanach Zjednoczonych po prostu przestała działać. Twitter, Netflix, Reddit, Spotify, GitHub, PayPal — jeden po drugim stawały się nieosiągalne. Nie zaatakowano ich bezpośrednio; ktoś uderzył w Dyn, firmę obsługującą DNS dla tych wszystkich serwisów, zalewając ją ruchem o niewyobrażalnej skali. A najbardziej niepokojące było źródło tego ruchu. Nie stały za nim tysiące hakerów ani armia serwerów. Stały za nim kamerki do monitoringu, nagrywarki wideo i domowe routery — dziesiątki tysięcy zwykłych urządzeń, które ich właściciele mieli w domach, nie mając pojęcia, że stali się częścią broni. Botnet nazywał się Mirai, a jego historia to opowieść o tym, jak najbardziej przyziemne zaniedbanie — domyślne hasło — zbudowało armię zdolną zachwiać internetem.

Internet Rzeczy, o którym wszyscy zapomnieli

Żeby zrozumieć Mirai, trzeba spojrzeć na to, co działo się z technologią. Świat zalała fala tanich urządzeń IoT (Internet of Things): kamery IP, dzwonki do drzwi, termostaty, nagrywarki, routery. Producenci ścigali się na cenę i wygodę, a bezpieczeństwo było na szarym końcu listy priorytetów. Efekt? Miliony urządzeń trafiły do domów i firm z fabrycznymi, domyślnymi hasłami typu „admin/admin” czy „root/root” — takimi samymi dla całych serii produktów, opisanymi w instrukcjach dostępnych w internecie.

Nikt tych haseł nie zmieniał, bo i po co — „to tylko kamerka”. A jednak każde z tych urządzeń było pełnoprawnym komputerem podłączonym do sieci przez całą dobę. Powstała gigantyczna, bezbronna powierzchnia ataku, na którą prawie nikt nie zwracał uwagi. Aż zwrócił.

Genialnie prosty pomysł

Mirai był technicznie zaskakująco prosty — i właśnie w tym tkwiła jego siła. Robak działał tak:

Skanował internet w poszukiwaniu urządzeń IoT nasłuchujących na typowych portach.
Próbował się zalogować, przechodząc przez wbudowaną listę kilkudziesięciu domyślnych par login-hasło najpopularniejszych producentów. Nie łamał żadnego szyfrowania, nie wykorzystywał wyrafinowanej luki — po prostu wpisywał hasło, które nadal było fabryczne.
Przejmował urządzenie i dołączał je do rosnącej armii, gotowej wykonać rozkaz.
Ruszał dalej — z nowo przejętego urządzenia skanował kolejne.

To był atak oparty nie na geniuszu, lecz na skali ludzkiego zaniedbania. Każde niezabezpieczone urządzenie było jak niezamknięte drzwi, a Mirai po prostu sprawdzał klamki — miliony klamek naraz.

Trzy uderzenia, które wstrząsnęły siecią

Mirai nie pozostał ciekawostką. Zbudowana armia posłużyła do serii ataków DDoS (rozproszonej odmowy usługi) o rekordowej sile:

Atak na blog badacza. Najpierw Mirai uderzył w stronę znanego dziennikarza zajmującego się bezpieczeństwem — potężnym zalewem ruchu, który zmusił jego dostawcę ochrony do rezygnacji z hostowania serwisu.
Atak na francuskiego dostawcę. Niedługo potem botnet wygenerował ruch przekraczający bilion bitów na sekundę — jeden z największych ataków DDoS, jakie do tego czasu odnotowano.
Atak na Dyn. Wreszcie, 21 października, uderzenie w firmę DNS pociągnęło za sobą kaskadę: skoro serwisy nie mogły „rozwiązać” swoich adresów, dla użytkowników po prostu zniknęły. Pół amerykańskiego internetu zamarło na godziny.

Świat zobaczył, że setki tysięcy tanich kamerek to nie zabawka, lecz działo wymierzone w fundamenty sieci. To rozwinięcie tej samej logiki, co przy atakach DDoS na infrastrukturę — tyle że amunicją stały się przedmioty codziennego użytku.

Zaskakujący finał: to byli studenci

Gdy FBI rozwikłało sprawę, motyw okazał się rozczarowująco prozaiczny. Za Mirai stała trójka młodych ludzi, w tym studenci. Ich pierwotnym celem nie było „położenie internetu”, lecz… przewaga w biznesie ataków DDoS na zlecenie oraz walki między serwerami popularnej gry. Zbudowali potworną broń niemal przypadkiem, dla lokalnych porachunków i pieniędzy.

Historia ma jeszcze jeden zwrot, który uczynił Mirai nieśmiertelnym: autorzy opublikowali jego kod źródłowy w internecie. Od tej chwili każdy mógł zbudować własny botnet na bazie Mirai — i tak się stało. Powstały dziesiątki wariantów, a rodzina Mirai atakuje w różnych formach do dziś. Twórcy ostatecznie przyznali się do winy i podjęli współpracę ze śledczymi.

Dlaczego Mirai wciąż jest ważny

Mirai obnażył prawdy, które definiują dzisiejsze bezpieczeństwo IoT i nie tylko:

Domyślne hasła to broń masowego rażenia. Cały atak stał na jednym: urządzenia z fabrycznymi poświadczeniami. To najprostsza możliwa luka — i wciąż jedna z najczęstszych. Zasada jest ta sama, co przy mitach o bezpiecznych hasłach: domyślne = żadne.
Każde urządzenie w sieci to komputer. Kamerka, drukarka, dzwonek — jeśli ma procesor i połączenie, może zostać przejęte i użyte przeciwko innym. „To tylko sprzęt” jest niebezpiecznym złudzeniem.
Skala bije wyrafinowanie. Mirai nie był mądry. Był ogromny. W świecie połączonych urządzeń liczba bezbronnych celów jest ważniejsza niż finezja ataku.
Kod raz opublikowany żyje wiecznie. Udostępnienie źródła zamieniło jednorazowy incydent w trwałą rodzinę zagrożeń — echo lekcji robaka Morrisa o samopowielającym się kodzie.

Lekcje dla firm

Zmieniaj domyślne poświadczenia — na wszystkim. Każde urządzenie, od routera po kamerę i drukarkę, dostaje unikalne, silne hasło jeszcze przed podłączeniem do sieci. To banał, który zatrzymałby Mirai.
Inwentaryzuj i segmentuj IoT. Wiedz, co masz w sieci, i odizoluj urządzenia IoT od systemów krytycznych. Przejęta kamerka nie powinna widzieć Twoich serwerów.
Wyłączaj to, czego nie używasz. Nieużywane usługi zdalnego dostępu i porty to zaproszenie. Ogranicz powierzchnię ataku do minimum — pomaga w tym choćby nasz skaner.
Miej ochronę anty-DDoS. Jeśli Twoja dostępność jest krytyczna, warstwa mitygacji DDoS (CDN/scrubbing) to realna polisa wobec ataków wolumetrycznych.
Aktualizuj firmware. Urządzenia IoT też mają łaty — a rzadko ktoś je wgrywa. Zaniedbany firmware to dług, który spłaca się w kryzysie.

Podsumowanie

Mirai udowodnił, że nie trzeba genialnego exploita, by zachwiać internetem — wystarczy dostatecznie wielka armia zbudowana z rzeczy, które wszyscy zignorowali. Kamerki i routery z fabrycznymi hasłami, pomnożone przez setki tysięcy, stały się bronią, która odcięła Twittera, Netflixa i Reddita w jednym uderzeniu. Za całością stali nie mistrzowie, lecz studenci szukający przewagi w drobnych porachunkach — a opublikowany przez nich kod sprawił, że zagrożenie żyje do dziś. To trwała lekcja ery Internetu Rzeczy: każde podłączone urządzenie to komputer, każde domyślne hasło to otwarte drzwi, a skala potrafi być groźniejsza niż finezja.

Chcesz sprawdzić, ile bezbronnych urządzeń i domyślnych poświadczeń kryje Twoja sieć — zanim znajdzie je botnet? Skontaktuj się z nami — testy i audyty bezpieczeństwa obejmują także urządzenia IoT i powierzchnię ataku.

Najczęstsze pytania (FAQ)

Jak Mirai przejmował urządzenia, skoro nie łamał zabezpieczeń? Nie musiał ich łamać — po prostu logował się fabrycznymi, domyślnymi hasłami, których właściciele nigdy nie zmienili. Robak miał wbudowaną listę kilkudziesięciu typowych par login-hasło i próbował ich na masowo skanowanych urządzeniach IoT. To atak oparty na skali ludzkiego zaniedbania, nie na wyrafinowaniu technicznym.

Czym jest atak DDoS i dlaczego Mirai był w nim tak skuteczny? DDoS (rozproszona odmowa usługi) to zalanie celu ruchem tak wielkim, że przestaje odpowiadać. Mirai był skuteczny, bo dysponował setkami tysięcy przejętych urządzeń rozsianych po całym świecie — każde generowało trochę ruchu, a razem tworzyły falę o rekordowej sile, trudną do odfiltrowania.

Czy Mirai nadal stanowi zagrożenie? Tak, w postaci licznych wariantów. Autorzy opublikowali kod źródłowy, więc każdy mógł zbudować własny botnet na jego bazie — i tak się dzieje do dziś. Dopóki w sieci są urządzenia IoT z domyślnymi hasłami i nieaktualnym firmware, rodzina Mirai ma z czego budować kolejne armie.

Jak ochronić firmowe urządzenia IoT przed przejęciem? Przede wszystkim zmień domyślne hasła na unikalne i silne na każdym urządzeniu, zanim podłączysz je do sieci. Do tego: odizoluj IoT od systemów krytycznych (segmentacja), wyłącz nieużywane usługi i porty, regularnie aktualizuj firmware oraz inwentaryzuj, co faktycznie masz w sieci. To proste kroki, które zamykają najczęstszą drogę ataku.