SANS ขอความร่วมมือ ค้นหารูปแบบการโจมตีอุปกรณ์ IoT ผ่านการทำ Honeypot

SANS Institute ศูนย์อบรมด้านความมั่นคงปลอดภัยไซเบอร์ชื่อดังของสหรัฐฯ ออกมาขอความร่วมมือผู้ดูแลระบบทั่วโลกในการค้นหารูปแบบของการโจมตีแบบ IoT-based Botnet Attack ซึ่งเป็นสาเหตุของการสร้างกองทัพซอมบี้ของอุปกรณ์ IoT ผ่านทางการทำ Honeypot พร้อมเผยผลวิเคราะห์เบื้องต้นให้ประชาชนรับทราบ

IoT-based Botnet Attack เป็นการโจมตีอุปกรณ์ IoT เช่น Router, IP Camera หรือ DVR เพื่อทำให้อุปกรณ์เหล่านั้นกลายเป็น Botnet พร้อมรับคำสั่งของแฮ็คเกอร์ในการโจมตี DDoS ไปยังเป้าหมายเหมือนอย่างที่บล็อกด้าน IT Security ชื่อดังอย่าง KrebsOnSecurity.com โดนถล่มไปด้วยขนาดกว่า 665 Gbps เมื่อเดือนที่ผ่านมา

ในการขอความร่วมมือนี้ SANS ร้องขอให้ผู้ที่สนใจรันโปรแกรม Honeypot ขื่อ “Cowrie” เวอร์ชันล่าสุด เพื่อช่วยกันเก็บข้อมูลพฤติกรรมการโจมตีอุปกรณ์ IoT รวมไปถึงการเปลี่ยนแปลงต่างๆ ที่อาจเกิดขึ้นในอนาคตอันใกล้ เพื่อให้ผู้ดูแลระบบและประชาชนทั่วไปสามารถปกป้องอุปกรณ์ของตนจากการตกเป็นเหยื่อของ IoT-based Botnet Attack ได้

การเก็บข้อมูลนี้เน้นโฟกัสที่อุปกรณ์ DVR (Digital Video Recorder) ที่ใช้รหัสผ่านดั้งเดิมจากโรงงานหรือไม่ได้ทำการอัปเดตแพทช์ล่าสุด ซึ่งทาง SANS ได้ทำการทดสอบ Honeypot เบื้องต้นดูแล้ว พบว่ามีการสแกนผ่านทาง Telnet เข้ามามากมายหลังเชื่อมต่อกับอินเทอร์เน็ต โดยใช้รหัสผ่านดั้งเดิมจากโรงงาน เช่น xc3511 และ 7ujMko0 ซึ่งเป็นรหัสผ่านของอุปกรณ์จากจีน เป็นต้น

จากการเก็บข้อมูลผ่านทาง Honeypot ทำให้ได้ข้อสรุปรูปแบบของการโจมตีเบื้องต้น ดังนี้

• พยายามล็อกอินโดยใช้รหัสผ่านดั้งเดิมจากโรงงาน
• พยายามตรวจสอบว่าอุปกรณ์ที่ล็อกอินเป็น Honeypot หรือไม่
• ทำการ Fingerprint อุปกรณ์เพื่อตรวจสอบ CPU และ Partition List
• ตรวจสอบว่าสามารถเขียนข้อมูลลงดิสก์ผ่านทาง Telnet ได้หรือไม่
• ทดสอบการส่งไฟล์ผ่านทาง WGET และ TFTP
• เช็คว่าอุปกรณ์สามารถสร้าง Binaries ได้หรือไม่

ในกรณีที่อุปกรณ์ IoT ผ่านทุกเงื่อนไข แฮ็คเกอร์จะทำการโหลดซอฟต์แวร์ Botnet เข้าไป แล้วทำการค้นหาอุปกรณ์อื่นที่มีช่องโหว่เพิ่มเติมด้วยอัตราเร็วกว่า 100 connections ต่อวินาที

ที่มา: http://www.theregister.co.uk/2016/10/04/sans_issues_call_to_arms_to_battle_iot_botnets/