Nguyên lý hoạt động

Mirai và Bashlite thực hiện rà quét dải mạng IPv4 nhằm tìm kiếm các thiết bị IoT. Để tối ưu hóa hiệu năng rà quét của mình thì Mirai thực hiện loại bỏ các dải IP như sau:

Sau khi tìm được các thiết bị IoT, Mirai và Bashlite thực hiện truy cập telnet trực tiếp hoặc nếu không được sẽ thực hiện bruteforce mật khẩu qua telnet hoặc ssh. Trong mã nguồn của Mirai cho thấy Mirai có sử dụng 60 tài khoản, mật khẩu mặc định để thực hiện tấn công như root:root; admin:admin1234; guest:guest...

Mặc dù có thể truy cập thành công được thiết bị nhưng cả hai mã độc này lại sử dụng một lệnh đặc biệt của busybox ( tiện ích trên các thiết bị Linux nhúng) do đó bot sẽ không thực hiện lây nhiễm được nếu thiết bị không được cài đặt busybox.

Môt khi sử dụng được busybox, mã độc sẽ thực hiện quá trình lây nhiễm. Đặc biệt sau khi lây nhiễm thành công, Mirai thực hiện tắt tất cả các tiến trình đang hoạt động kết nối tới cổng 22, 23 và 80 và khóa toàn bộ tài khoản đăng nhập trên thiết bị. Ngoài ra, Mirai còn có khả năng rà soát trên bộ nhớ nhằm tìm kiếm và gỡ bỏ mã độc anime và nhiều loại mã độc khác để đảm bảo thiết bị được kiểm soát hoàn toàn. Sau khi thực hiện lây nhiễm thành công, mã độc kết nối tới máy chủ điều khiển và chờ lệnh tấn công

Kỹ thuật tấn công

Mirai và Bashlite, kẻ thức thời!

Theo Gartner, trong năm 2016, số lượng thiết bị kết nối IoT trên toàn cầu là 6,5 tỉ, tăng hơn 30% so với năm 2015 và ước tính, đến năm 2020 số lượng thiết bị kết nối không dây hoạt động sẽ vượt quá 30 tỷ thiết bị. Rõ ràng, chỉ cần chiếm được một phần nhỏ trong số thiết bị đó thôi cũng đủ để cho tội phạm mạng gây ra những vụ tấn công kinh điển nhất từ trước tới giờ cũng như thu về những khoản lợi nhuận khổng lồ.

Bằng chứng là trong tháng 9 vừa qua chúng ta đã chứng kiến những cuộc tấn công từ chối dịch vụ được ghi nhận lớn nhất trong lịch sử có cường độ lên tới 650 Gbps nhắm vào  Krebsonsecuriy và 1,5 Tbps  nhắm vào nhà cung cập dịch vụ hosting OVH. Nguồn gốc của 2 cuộc tấn công trên bắt nguồn từ hai mạng botnet có tên là Mirai được cho là đang lây nhiễm hơn 400,000 thiết bị IoT và tồn tại trước đó, Bashlite đã lây nhiễm đến 1 triệu thiết bị IOT trên toàn thế giới, theo báo cáo mới nhất từ Level 3 Threat Research Labs.

Nguyên lý hoạt động

Mirai và Bashlite thực hiện rà quét dải mạng IPv4 nhằm tìm kiếm các thiết bị IoT. Để tối ưu hóa hiệu năng rà quét của mình thì Mirai thực hiện loại bỏ các dải IP như sau:

Sau khi tìm được các thiết bị IoT, Mirai và Bashlite thực hiện truy cập telnet trực tiếp hoặc nếu không được sẽ thực hiện bruteforce mật khẩu qua telnet hoặc ssh. Trong mã nguồn của Mirai cho thấy Mirai có sử dụng 60 tài khoản, mật khẩu mặc định để thực hiện tấn công như root:root; admin:admin1234; guest:guest...

Mặc dù có thể truy cập thành công được thiết bị nhưng cả hai mã độc này lại sử dụng một lệnh đặc biệt của busybox ( tiện ích trên các thiết bị Linux nhúng) do đó bot sẽ không thực hiện lây nhiễm được nếu thiết bị không được cài đặt busybox.

Môt khi sử dụng được busybox, mã độc sẽ thực hiện quá trình lây nhiễm. Đặc biệt sau khi lây nhiễm thành công, Mirai thực hiện tắt tất cả các tiến trình đang hoạt động kết nối tới cổng 22, 23 và 80 và khóa toàn bộ tài khoản đăng nhập trên thiết bị. Ngoài ra, Mirai còn có khả năng rà soát trên bộ nhớ nhằm tìm kiếm và gỡ bỏ mã độc anime và nhiều loại mã độc khác để đảm bảo thiết bị được kiểm soát hoàn toàn. Sau khi thực hiện lây nhiễm thành công, mã độc kết nối tới máy chủ điều khiển và chờ lệnh tấn công

Kỹ thuật tấn công

Pha bốc đầu xe 4 bánh đúng thời điểm chiếc ô tô ngược chiều đang lao đến đã gây ra vụ tai nạn kinh hoàng.

Yekutiel Sherman không thể tin vào mắt mình. Công ty Israel này đã dành ra một năm để thiết kế sản phẩm có thể sẽ giúp anh trở nên giàu có – một chiếc ốp lưng thông minh có thể kéo dài ra thành gậy selfie.

Anh đã gây được một số quỹ nhỏ từ gia đình mình, và ra mắt một chiến dịch gây quỹ. Anh thậm chí còn quay cả một đoạn video quảng cáo chuyên nghiệp, cho thấy một cặp đôi đang thực hiện một bức ảnh selfie hoàn hảo ngay trước tháp Eiffel.

Nhưng một tuần sau khi sản phẩm của anh ra mắt trang Kickstarter vào tháng Mười Hai năm 2015, Sherman đã thực sự shock khi thấy sản phẩm của mình được bán trên trang AliExpress.

Các nhà buôn trên khắp Trung Quốc đều đang bán loại ốp lưng kiêm gậy selfie cho smartphone, giống hệt với thiết kế của Sherman. Một số họ còn bán với giá chỉ 10 USD mỗi chiếc, thấp hơn nhiều so với mức giá mà Sherman muốn bán (47,41 USD). Hơn thế nữa, một số người còn lấy chính tên sản phẩm của Sherman – Stikbox.

Sherman chỉ là một nạn nhân của tình trạng sao chép chóng vánh ở Trung Quốc. Trước khi anh kịp thành lập nhà xưởng để sản xuất sản phẩm của mình, các nhà sản xuất ở Trung Quốc đã sao chép ý tưởng và đánh bại anh bằng một cú đánh trực diện.

Khi những người ủng hộ anh trên trang Kickstarter biết được tin này, họ đều rất nổi giận. “Anh đang tính giá gấp đôi so với những kẻ đã sao chép sản phẩm của mình, nhưng tôi vẫn không biết sản phẩm cuối cùng có tốt hơn sản phẩm sao chép hay không.” Một người bình luận.

Nhiều năm trước đây, các chuyên gia trong ngành công nghiệp phần cứng sẽ đồng cảm hơn với Sherman. Nhưng giờ không ai – ngay cả Sherman còn như vậy nữa. Tuy nhiên, mọi thứ đã thay đổi.

Các startup và các nhà sản xuất nước ngoài đang chấp nhận một thực tế rằng - ai đó ở Trung Quốc có thể làm nhái sáng chế độc đáo của bạn, gần như ngay lập tức. Tất cả các công ty hay các doanh nghiệp đều phải chuẩn bị cho điều đó.

Nguồn gốc của văn hóa sao chép

Jack Ma, người sáng lập ra Alibaba, đã nhận hàng loạt lời chỉ trích khi ông nói với các nhà đầu tư vào tháng Sáu vừa qua rằng, hàng giả “đang có chất lượng tốt hơn và giá tốt hơn cả hàng thật,” và đến từ “cùng các nhà máy” như các sản phẩm thật. Dù vậy, vẫn có một phần sự thật trong bình luận của ông.