Botnet 17 milionów urządzeń rozbity. Jak nie dać się wciągnąć do僵尸 sieci?

Holenderska policja we współpracy z krajową agencją cyberbezpieczeństwa NCSC przejęła kontrolę nad infrastrukturą botnetu liczącego 17 milionów zainfekowanych urządzeń. Jak poinformowały służby, przejęto ponad 200 serwerów w lokalnym centrum danych, które służyły do wydawania poleceń kompromitowanym komputerom, tabletom i smartfonom. Skala operacji pokazuje, jak łatwo nieświadomi użytkownicy mogą stać się częścią globalnej sieci wykorzystywanej do cyberataków.

Co wiadomo o przejętym botnecie?

Według oficjalnego komunikatu NCSC potwierdziło, że przejęte serwery kontrolowały „komputery, tablety i smartfony w celu przeprowadzania cyberataków”. Chociaż władze nie podały nazwy konkretnego botnetu, lokalne media powiązały operację z usługą o nazwie Asocks, która reklamuje się jako „uniwersalna usługa proxy” oferująca 7 milionów adresów IP w 150 lokalizacjach. Asocks sprzedaje abonamenty od 5 do 15 dolarów miesięcznie, zapewniając dostęp do proxy korporacyjnych, mieszkalnych i mobilnych.

Botnety tego typu są zwykle wykorzystywane do przeprowadzania ataków DDoS, maskowania ruchu przestępczego, kradzieży danych czy wydobywania kryptowalut na koszt właściciela urządzenia. Kluczowe – jak wskazuje NCSC – że właściciele sprzętu wchodzącego w skład botnetu nie brali świadomego udziału w działalności przestępczej. Oznacza to, że ich urządzenia zostały zainfekowane bez ich wiedzy i zgody.

Kto jest zagrożony i jak dochodzi do infekcji?

Botnety nie dyskryminują – ofiarą może paść każdy, kto nie zabezpieczył prawidłowo swojego routera, komputera czy telefonu. W przypadku opisywanej operacji przejęte serwery znajdowały się w Holandii, ale zainfekowane urządzenia mogą być rozsiane po całym świecie. Do infekcji najczęściej dochodzi przez:

• Słabe lub domyślne hasła na routerach i innych urządzeniach IoT – to najczęstsza droga ataku.
• Nieaktualne oprogramowanie sprzętowe (firmware) – producenci regularnie wydają łatki, ale użytkownicy rzadko je instalują.
• Otwarte i niepotrzebnie włączone panele administracyjne zdalne – jeśli nie korzystasz z dostępu przez internet do konfiguracji routera, wyłącz tę opcję.

Warto dodać, że wśród 17 milionów zainfekowanych urządzeń znalazły się nie tylko komputery, ale także urządzenia mobilne. Oznacza to, że twórcy botnetu wykorzystywali luki w zabezpieczeniach lub socjotechnikę również na smartfonach i tabletach.

Jak chronić swoje urządzenia przed wciągnięciem do botnetu?

NCSC i policja nie opublikowały jeszcze pełnej listy wskaźników kompromitacji (IoC), ale na podstawie typowych mechanizmów działania takich sieci można podjąć konkretne kroki obronne. Oto najważniejsze zasady:

• Zmień domyślne hasła – hasła fabryczne na routerach, kamerach IP i innych urządzeniach sieciowych są powszechnie znane i często stanowią pierwszą linię ataku.
• Aktualizuj firmware – producenci regularnie wydają poprawki bezpieczeństwa. Sprawdź w panelu administracyjnym swojego routera, czy dostępna jest nowa wersja oprogramowania.
• Wyłącz zdalny dostęp do panelu administracyjnego – jeśli nie musisz zarządzać routerem z zewnątrz, zablokuj dostęp z internetu. Ogranicz go wyłącznie do sieci lokalnej.
• Regularnie instaluj aktualizacje systemu operacyjnego – zarówno na komputerze, jak i na smartfonie. Łaty eliminują znane luki wykorzystywane przez złośliwe oprogramowanie.
• Korzystaj z silnego oprogramowania antywirusowego – dobre programy potrafią wykryć i zablokować komunikację z serwerem kontrolnym botnetu.

Co dalej? Obserwuj komunikaty służb

Holenderska akcja pokazuje, że ściganie operatorów botnetów jest możliwe, ale wymaga międzynarodowej współpracy i zaangażowania wielu instytucji. Dla przeciętnego użytkownika najważniejsze jest profilaktyczne zabezpieczenie własnego sprzętu. Władze prawdopodobnie opublikują w kolejnych tygodniach więcej szczegółów technicznych, w tym listę domen i adresów IP powiązanych z botnetem. Warto śledzić komunikaty NCSC i CERT Polska, by na bieżąco reagować na ewentualne zagrożenia.