Een Braziliaans technologiebedrijf dat gespecialiseerd is in bescherming tegen distributed denial-of-service (DDoS)-aanvallen, heeft een botnet mogelijk gemaakt dat verantwoordelijk is voor een langdurige campagne van grootschalige DDoS-aanvallen op andere netwerkoperators in Brazilië. Dit meldt KrebsOnSecurity. De CEO van het bedrijf stelt dat de kwaadaardige activiteiten het gevolg zijn van een beveiligingsinbreuk en vermoedelijk het werk zijn van een concurrent die de reputatie van zijn bedrijf wilde schaden.

Beveiligingsexperts volgden de afgelopen jaren een reeks omvangrijke DDoS-aanvallen die vanuit Brazilië uitsluitend gericht waren op Braziliaanse internetproviders (ISP's). Tot voor kort was onduidelijk wie of wat achter deze digitale aanvallen zat. Dit veranderde begin april toen een anonieme, betrouwbare bron een opmerkelijk bestandspakket deelde dat openbaar toegankelijk was via een open directory op het internet. Dit pakket bevatte meerdere kwaadaardige programma's in het Portugees, geschreven in Python, en ook de privé SSH-authenticatiesleutels van de CEO van Huge Networks, een Braziliaanse ISP die zich vooral richt op DDoS-bescherming voor andere Braziliaanse netwerkoperators.

Huge Networks, opgericht in Miami in 2014, is voornamelijk actief in Brazilië. Het bedrijf begon met het beschermen van game-servers tegen DDoS-aanvallen en ontwikkelde zich tot een ISP-georiënteerde DDoS-mitigerende dienstverlener. Het bedrijf is niet bekend uit openbare klachten over misbruik en wordt niet geassocieerd met DDoS-for-hire diensten. Desondanks toont het gelekte bestandspakket aan dat een bedreigingsactor uit Brazilië roottoegang had tot de infrastructuur van Huge Networks en een krachtig DDoS-botnet opbouwde. Dit botnet werd onderhouden door het internet systematisch te scannen op onveilige routers en onbeheerde DNS-servers die konden worden ingezet voor aanvallen.

DNS-servers zorgen ervoor dat gebruikers websites kunnen bereiken via domeinnamen in plaats van IP-adressen. Bij zogenaamde DNS-reflectieaanvallen worden DNS-servers misbruikt die queries van overal op het internet accepteren. Aanvallers sturen vervalste DNS-verzoeken die lijken te komen van het netwerk van het doelwit, waardoor de DNS-servers hun antwoorden naar dat doelwit sturen. Door gebruik te maken van een uitbreiding op het DNS-protocol kunnen de aanvallers de grootte van de DNS-antwoorden sterk vergroten, wat de impact van de aanval versterkt. Zo kan een verzoek van minder dan 100 bytes een reactie van 60 tot 70 keer die grootte veroorzaken. Dit effect wordt versterkt wanneer duizenden gecompromitteerde apparaten tegelijk dergelijke vervalste verzoeken sturen.

Het gelekte bestandspakket bevat ook een commandoregelgeschiedenis die laat zien hoe de aanvaller het botnet opbouwde en in stand hield door te zoeken naar kwetsbare TP-Link Archer AX21-routers. Het botnet richt zich specifiek op apparaten die kwetsbaar zijn voor CVE-2023-1389, een kwetsbaarheid voor ongeauthenticeerde commandoinjectie die in april 2023 werd gepatcht. De kwaadaardige Python-scripts maken verbinding met domeinen zoals hikylover[.]st en c.loyaltyservices[.]lol, die in het afgelopen jaar zijn geïdentificeerd als command-and-control servers voor een Internet of Things (IoT) botnet dat gebruikmaakt van een variant van de Mirai malware.

De botmaster coördineerde de scans vanaf een Digital Ocean-server die in het afgelopen jaar honderden keren is gemeld wegens misbruik. De Python-scripts gebruikten meerdere IP-adressen die aan Huge Networks zijn toegewezen om doelwitten te identificeren en DDoS-campagnes uit te voeren. De aanvallen waren strikt gericht op Braziliaanse ISP's en maakten gebruik van een combinatie van kwetsbare routers en DNS-reflectie om de impact te maximaliseren.