Il gigante russo di Internet Yandex è stato l'obiettivo di un attacco DDoS da record da parte di una nuova botnet chiamata Mēris

Si ritiene che la botnet abbia colpito l'infrastruttura web dell'azienda con milioni di richieste HTTP, prima di raggiungere un picco di 21,8 milioni di richieste al secondo (RPS), facendo impallidire un recente attacco basato su botnet che è venuto alla luce il mese scorso, bombardando un cliente Cloudflare senza nome nel settore finanziario con 17,2 milioni di RPS.

Il servizio di mitigazione DDoS russo Qrator Labs, che giovedì ha rivelato i dettagli dell'attacco, ha chiamato Mēris – che significa “peste” in lingua lettone – una “botnet di un nuovo tipo”.

"È anche chiaro che questa particolare botnet è ancora in crescita. C'è un suggerimento che la botnet potrebbe crescere in forza attraverso la forzatura bruta delle password, anche se tendiamo a trascurarla come una piccola possibilità. Sembra una vulnerabilità che è stata mantenuta segreto prima dell'inizio della massiccia campagna o venduto sul mercato nero", hanno osservato i ricercatori, aggiungendo che Mēris "può sopraffare quasi tutte le infrastrutture, comprese alcune reti altamente robuste […] a causa dell'enorme potenza RPS che porta con sé".

Gli attacchi DDoS hanno sfruttato una tecnica chiamata pipelining HTTP che consente a un client (ovvero un browser Web) di aprire una connessione al server ed effettuare più richieste senza attendere ogni risposta. Il traffico dannoso ha avuto origine da oltre 250.000 host infetti, principalmente dispositivi di rete di Mikrotik, con prove che indicano uno spettro di versioni di RouterOS che sono state utilizzate come arma sfruttando vulnerabilità ancora sconosciute.

Ma in un post sul forum, il produttore di apparecchiature di rete lettone ha affermato che questi attacchi utilizzano lo stesso set di router che sono stati compromessi tramite una vulnerabilità del 2018 ( CVE-2018-14847 , punteggio CVSS: 9.1) che da allora è stato corretto e che non ci sono nuove (zero-day) vulnerabilità che incidono sui dispositivi.

"Purtroppo, chiudere la vulnerabilità non protegge immediatamente questi router. Se qualcuno ha ricevuto la tua password nel 2018, solo un aggiornamento non sarà di aiuto. Devi anche cambiare la password, ricontrollare il firewall se non consente l'accesso remoto a parti sconosciute, e cerca script che non hai creato", ha osservato .

Mēris è stato anche collegato a una serie di attacchi DDoS, incluso quello mitigato da Cloudflare, notando le sovrapposizioni in "durate e distribuzioni tra i paesi".

Sebbene sia altamente raccomandato aggiornare i dispositivi MikroTik al firmware più recente per combattere eventuali attacchi botnet, alle organizzazioni si consiglia anche di modificare le password di amministrazione per proteggersi dai tentativi di forza bruta.