Beveiligingsbedrijf Symantec heeft een analyse gepubliceerd van de Hajime-malware, die zich op onveilige iot-apparaten richt. Daaruit blijkt dat het niet om een kwaadwillende variant als Mirai gaat, maar dat Hajime bedoeld lijkt te zijn om de verspreiding van Mirai te verhinderen.
De Hajime-malware werd in oktober 2016 ontdekt door het beveiligingsbedrijf Rapidity. Dat gebeurde kort nadat de broncode van de Mirai-malware online verschenen was, wat het ontstaan van verschillende varianten tot gevolg had. Destijds schreef het bedrijf dat het doel van Hajime 'een mysterie' was, omdat de variant geen module bevatte om kwaadaardige acties uit te voeren, zoals een ddos-aanval. Symantec schrijft dat dit nu nog steeds het geval is, maar dat de software ook een bericht in de terminal van een geïnfecteerd systeem toont.
Daarin staat de tekst 'just a white hat, securing some systems', waardoor de indruk wordt gewekt dat het om een 'ethische' hacker gaat die niet uit is op het veroorzaken van schade. De mededeling is voorzien van een digitale handtekening, waardoor het volgens Symantec aannemelijk is dat deze daadwerkelijk afkomstig is van de auteur van Hajime. De ogenschijnlijk 'goedaardige' malware kan echter naderhand alsnog voorzien worden van ddos-mogelijkheden, waardoor het moeilijk in te schatten is of de auteur daadwerkelijk goede bedoelingen heeft.
Er zijn echter aanvullende aanwijzingen die deze theorie ondersteunen. Zo schrijft de Symantec-onderzoeker dat Hajime geïnfecteerde apparaten veiliger maakt door poorten met nummers 23, 7547, 5555, en 5358 te sluiten. Deze worden voor een deel gebruikt voor de verspreiding van de Mirai-malware. De malware voert geen aanpassing van de firmware door, waardoor de aangepaste instellingen na een herstart weer ongedaan worden gemaakt en het apparaat opnieuw doelwit wordt voor iot-malware.
Er zijn verschillen en overeenkomsten tussen Hajime en Mirai. Zo verspreidt Hajime zich via onveilige apparaten met een open Telnet-poort en standaardaccounts. De malware gebruikt dezelfde combinaties van gebruikersnaam en wachtwoord als Mirai, in aanvulling op twee andere combinaties. Het verschil is dat Hajime gebruikmaakt van een decentraal netwerk, terwijl Mirai verbinding maakt met een enkele c2-server. Bovendien probeert de malware verborgen te blijven.
Volgens Symantec heeft Hajime zich in de afgelopen maanden snel verspreid. De malware zou inmiddels 'tienduizenden' apparaten hebben geïnfecteerd, met name in Brazilië en Iran. Hajime is niet de eerste malwarevariant die een 'goedaardig' doel lijkt te dienen. Zo ontwikkelde onderzoeker Jerry Gamblin in oktober een worm die Telnet-inloggegevens wijzigde van kwetsbare iot-apparaten. Na kritiek beëindigde hij zijn project echter. Het verspreiden van een worm brengt apparaten in gevaar en is bovendien onethisch en soms illegaal, vinden critici. Een soortgelijke variant is BrickerBot, die recentelijk opdook. Deze malware maakt kwetsbare iot-apparaten nagenoeg onbruikbaar.
De Mirai-malware en varianten daarvan worden gebruikt om botnets te maken van verschillende iot-apparaten. Vaak gaat het om ip-camera's en digitale videorecorders. Samen zijn deze apparaten in staat om krachtige ddos-aanvallen uit te voeren, zoals op dns-provider Dyn. De verwachting was dat er dit jaar nog meer grote ddos-aanvallen zouden plaatsvinden, maar dat is tot nu toe niet gebeurd. Het woord 'mirai' betekent 'toekomst' in het Japans; 'hajime' betekent 'begin'.
/i/2001841111.png?f=fpa)
/i/2001904567.png?f=fpa)
/i/1202991430.png?f=fpa)
:strip_exif()/i/1317201694.gif?f=fpa)
/i/1249634131.png?f=fpa)
/i/2000538672.png?f=fpa)
:strip_exif()/i/1297349685.gif?f=fpa)
/i/1300460511.png?f=fpa)
:strip_exif()/i/2001267513.jpeg?f=fpa)
/u/407403/WAhack.png?f=community){kind=small}
:strip_icc():strip_exif()/u/57655/SuperTeamLogo.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/26315/bleh.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/109168/crop5c6ad3dc9bc0f_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/140051/BSOD.jpg?f=community){kind=small}
.
/u/76130/crop5b44bf2b33cd5_cropped.png?f=community){kind=small}
:strip_exif()/u/458702/crop5c951216691ba_cropped.gif?f=community){kind=small}