미라이 봇넷
IT 위키
이름은 일본어 '미래(未来)'에서 왔다. 2016년 10월 소스 코드가 공개된 뒤 수많은 변종이 파생되어, 지금도 IoT 대상 DDoS 봇넷의 원형으로 다뤄진다.
- 인터넷에 열려 있는 텔넷(23번)·SSH 포트를 무작위로 훑는다.
- 제조사 기본 계정과 기본 암호(admin/admin, root/12345 등) 목록을 넣어 둔 사전으로 로그인을 시도한다. 취약점을 쓰는 것이 아니라 바꾸지 않은 초기 암호를 노린다.
- 로그인에 성공하면 기기 아키텍처에 맞는 실행 파일을 내려받아 실행하고, C&C 서버에 접속해 명령을 기다린다.
- 감염된 기기는 다시 스캐너가 되어 다른 기기를 찾는다.
- 메모리에만 상주하므로 재부팅하면 악성코드는 사라지지만, 암호를 바꾸지 않으면 곧 다시 감염된다.
- 2016년 9월 : 보안 기자 브라이언 크렙스의 사이트에 초당 수백 기가비트 규모의 공격
- 2016년 10월 : DNS 서비스 업체 Dyn 에 대한 DDoS 로 트위터, 넷플릭스, 깃허브 등 다수 서비스가 북미·유럽에서 장애를 겪었다. IoT 봇넷이 인터넷 기간 서비스를 마비시킬 수 있음을 보인 사건이다.
- SYN·ACK·UDP 플러딩 등 전통적인 대역폭 소진 공격
- GRE 트래픽 플러딩
- HTTP 요청 플러딩
- DNS 질의를 이용한 증폭 공격(DNS 증폭 공격)
- IoT 기기의 기본 계정과 암호를 반드시 변경한다. 미라이 계열 대부분이 이것만으로 차단된다.
- 텔넷 등 불필요한 관리 포트를 인터넷에 노출하지 않는다.
- 펌웨어를 최신으로 유지하고, 지원이 끝난 기기는 교체한다.
- 기기를 별도 망으로 분리하고 아웃바운드 통신을 제한한다.
- 회선·서비스 측면에서는 DDoS 대응 서비스와 트래픽 임계치 기반 차단을 함께 둔다.
