Botnet malware con 600.000 router negli Stati Uniti
L’attacco “Pumpkin Eclipse” ha lasciato senza internet 600.000 router appartenenti a un singolo ISP, un evento che ha causato un’interruzione di servizio diffusa in diverse regioni degli Stati Uniti.
L’attacco
Nel 2023, un malware botnet noto come “Pumpkin Eclipse” ha attaccato 600.000 router di piccole aziende e uffici domestici (SOHO) in diversi Stati del Midwest, rendendoli inutilizzabili e costringendo i proprietari a sostituirli.
L’attacco ha avuto un impatto concentrato, colpendo un unico ISP e tre modelli di router specifici: ActionTec T3200s, ActionTec T3260s e Sagemcom F5380.
Impatto
L’attacco ha causato un’interruzione di servizio diffusa, con un ISP che ha subito una riduzione del 49% delle modem operative.
L’ISP colpito serve comunità vulnerabili negli Stati Uniti, e l’attacco ha causato disservizi per i clienti che dipendono da questo provider per l’accesso a internet.
Attore responsabile
Black Lotus Labs non ha rivelato il nome dell’ISP colpito, ma l’attacco ha un’elevata somiglianza con un’interruzione di servizio di Windstream che si è verificata nello stesso periodo.
Modus operandi
Il malware botnet “Pumpkin Eclipse” ha sfruttato una vulnerabilità sconosciuta o ha sfruttato credenziali deboli per accedere ai router.
Il primo stadio del payload è un bash script chiamato “get_scrpc”, che esegue un secondo script chiamato “get_strtriiush”, responsabile del recupero e dell’esecuzione del payload principale, “Chalubo”.
Obiettivi
Il botnet “Pumpkin Eclipse” ha distribuito una botnet con funzionalità DDoS, indicando che l’obiettivo potrebbe essere quello di lanciare attacchi DDoS.
Misure di sicurezza
Per proteggere i router da attacchi simili, è importante:
- Aggiornare regolarmente il firmware dei router per risolvere le vulnerabilità note.
- Utilizzare password complesse per proteggere l’accesso amministrativo.
- Limitare l’accesso all’interfaccia amministrativa ai soli indirizzi IP attendibili.
- Monitorare attivamente i log dei router per rilevare attività sospette.
L’attacco “Pumpkin Eclipse” ha dimostrato l’importanza di proteggere i router da vulnerabilità e attacchi malware. Implementando misure di sicurezza appropriate, gli utenti possono ridurre il rischio di subire interruzioni di servizio e danni finanziari.
