Het Mirai botnet is een van de meest beruchte en langdurige dreigingen in de wereld van cyber security. In 2016 werd het voor het eerst ontdekt en sindsdien heeft het zowel de security community als organisaties wereldwijd wakker geschud.

Het botnet kreeg de naam Mirai na de ontdekking dat het voornamelijk bestond uit geinfecteerde IoT apparaten, van slimme camera s tot routers. De naam is geinspireerd op de Japanse animatieserie Mirai Nikki en is tevens een veelvoorkomende Japanse voornaam.

De kracht van Mirai ligt niet alleen in zijn omvang, maar ook in zijn vermogen om zich voortdurend aan te passen en nieuwe kwetsbaarheden te exploiteren.

Het Mirai botnet verwierf beruchtheid door het veroorzaken van massale gedistribueerde denial of service, DDoS, aanvallen, waarbij websites en online diensten wereldwijd werden getroffen. Wat begon als een relatief eenvoudige aanvalsmethode, is in de loop der jaren geevolueerd. Steeds geavanceerdere varianten van Mirai richten zich op specifieke kwetsbaarheden in IoT apparaten. Ondanks dat het in 2016 werd ontdekt, is Mirai nog steeds going strong, met verschillende afgeleiden en verbeterde versies die wereldwijd schade aanrichten.

Het Mirai botnet vormt niet alleen een bedreiging door zijn schaal, maar ook door zijn vermogen zich te verbergen, zich te herstellen en zich continu te ontwikkelen. Het blijft een groeiend probleem voor de IoT beveiliging, waarbij kwetsbare apparaten deel kunnen uitmaken van botnets die grootschalige DDoS aanvallen uitvoeren en uiteindelijk het hele ecosysteem kunnen verzwakken.

De verschillende afgeleiden van het beruchte Mirai botnet zijn verantwoordelijk voor een recente stijging van DDoS aanvallen wereldwijd.

1. Murdoc Botnet, Een bedreiging voor Aziatische en Latijns Amerikaanse landen

Een variant van het Mirai botnet, genaamd Murdoc Botnet, heeft wereldwijd aanzienlijke schade aangericht, met als voornaamste doelwitten landen zoals Maleisie, Thailand, Mexico en Indonesie. Onderzoekers van Qualys hebben aangetoond dat deze botnet operatie, die sinds juli 2024 actief is, momenteel meer dan 1.300 IP adressen heeft gecompromitteerd en specifiek kwetsbaarheden in Avtech camera s en Huawei HG532 routers uitbuit.

Door gebruik te maken van kwetsbaarheden zoals CVE 2024 7029 en CVE 2017 17215, kan het botnet schadelijke payloads downloaden naar getroffen apparaten. Bovendien worden ELF bestanden en Shell scripts ingezet om de malware te installeren. Het grootste gevaar is dat deze IoT apparaten eenvoudig kunnen worden geinfecteerd zonder tussenkomst van de gebruiker, waardoor ze onbewust bijdragen aan grootschalige DDoS aanvallen.

Deze versturen we 3-4x per jaar.