Attacco delle botnet Ficora e Capsaicin ai router D-Link obsoleti

Le botnet Ficora e Capsaicin attaccano i router D-Link obsoleti. Scopri come questi dispositivi vulnerabili vengono sfruttati dai cybercriminali e come proteggersi.

1. Quali router D-Link sono vulnerabili?
2. Come le botnet Ficora e Capsaicin attaccano i router D-Link?
3. Come proteggersi da botnet e vulnerabilità nei dispositivi D-Link obsoleti?

Nell’odierna era digitale la sicurezza delle reti è diventata una priorità assoluta, tanto per le imprese, quanto per i singoli utenti.
Mentre si cerca un modo di mettere al sicuro le proprie connessioni, minacce subdole come le botnet continuano a espandersi, sfruttando ogni occasione per compromettere dispositivi vulnerabili e annetterli alla loro rete di attacco.

Tra i principali fattori che alimentano questa piaga informatica, vi sono i dispositivi di rete obsoleti. Questi, spesso dimenticati dagli utenti o utilizzati senza le dovute precauzioni, sono il punto più debole dell’intera catena di sicurezza, in quanto responsabili diretti dell’esposizione di reti e dati sensibili alla mercé dei cybercriminali.

In particolare, una problematica di questo tipo è emersa negli ultimi giorni del 2024, in cui i router D-Link fuori supporto sono stati presi di mira proprio da due botnet. Questo episodio non solo dimostra quanto sia pericoloso affidarsi a dispositivi ormai obsoleti, ma ribadisce anche l’urgenza di intervenire prontamente per proteggere l’intera infrastruttura digitale da rischi sempre più sofisticati.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Quali router D-Link sono vulnerabili?

Nel corso dell’ultima settimana di dicembre 2024 due pericolose botnet, che rispondono al nome di Ficora e Capsaicin, hanno intensificato i loro sforzi contro i dispositivi di rete obsoleti. In particolare, è stato registrato un picco di attacchi contro i router D-Link in stato di EoL (End of Life), ormai esclusi dai cicli di aggiornamento e privi di supporto ufficiale da parte del produttore. Questi dispositivi, eseguendo versioni non aggiornate dei firmware di sistema, si sono trasformati in un obiettivo privilegiato per i collettivi cybercriminali responsabili delle botnet.

L’allarme, diramato in data 26 dicembre 2024 da un rapporto stilato da Fortinet, ha messo in evidenza la gravità di questa situazione, elencando i modelli di router D-Link maggiormente a rischio, nello specifico:

• D-Link DIR-645;
• D-Link DIR-806;
• D-Link GO-RT-AC750;
• D-Link GO-RT-AC750_revA_v101b03;
• D-Link GO-RT-AC750_revB_FWv200b02;
• D-Link DIR-845L;

La preoccupazione maggiore risiede nella larga diffusione di questi modelli, particolarmente comuni sia nelle reti domestiche, che in quelle aziendali. L’attività malevola delle botnet, classificata come una campagna in evoluzione, potrebbe avere un impatto su vasta scala. Questo perché gli attori malevoli sono in grado di colpire indiscriminatamente utenti privati e organizzazioni, poiché l’entry point è proprio il router obsoleto in uso sulla loro rete.

Il picco massimo di attacco è stato registrato tra ottobre e novembre 2024, in cui le due botnet hanno dato inizio alle loro attività contro i router D-Link, prendendo di mira proprio le vulnerabilità ben documentate del produttore. In particolare, quelle che permettono l’accesso remoto agli attaccanti e l’esecuzione di comandi malevoli, tramite un’azione di tipo GetDeviceSettings, sul protocollo proprietario HNAP (Home Network Administration Protocol).

Proprio la debolezza in questo protocollo era stata esposta pubblicamente nel 2015, con un gran numero di dispositivi afflitti da una serie di vulnerabilità molto gravi, di cui si citano:

• CVE-2015-2051;
• CVE-2019-10891;
• CVE-2022-37056;
• CVE-2024-33112;

Come le botnet Ficora e Capsaicin attaccano i router D-Link?

Sia Ficora, che Capsaicin sono in grado di sottrarre dati sensibili ed eseguire comandi di shell, una volta ottenuto l’accesso remoto al dispositivo bersaglio, sfruttando proprio una delle vulnerabilità elencate poc’anzi. Vediamole più nel dettaglio una per volta.

Ficora

La prima botnet a colpire è una variante più sofisticata della famosa botnet Mirai. Secondo le analisi degli esperti di Fortinet, Ficora è stata adattata specificamente per sfruttare le falle di sicurezza intrinseche ai prodotti D-Link. In particolare, quelli entrati nello stato di EoL.

Una volta ottenuto l’accesso ai dispositivi vulnerabili, Ficora utilizza uno script di shell per scaricare ed eseguire il proprio payload, sfruttando i comandi: wget, curl, ftpget e tftp. Il malware di Ficora include un modulo per attacchi brute-force, che gli permette di forzare l’accesso sia in dispositivi Linux-based, che in un’ampia gamma di architetture hardware. A ciò si aggiungono le sue capacità di attacco DDoS, con pieno supporto ad attacchi di tipo UDP Flooding, TCP Flooding e DNS Amplification. In tal modo, la botnet non solo è in grado di aumentare esponenzialmente il proprio fattore di diffusione, ma anche di massimizzare l’impatto dei suoi attacchi.

Capsaicin

Si tratta di una variante più pericolosa e ottimizzata della ben nota botnet Kaiten, ad opera del gruppo Keksec.
I suoi membri non sono dei volti nuovi della scena criminale informatica, in quanto già autori della botnet EnemyBot e di svariate famiglie di malware mirate ai dispositivi Linux-based. Differentemente da Ficora, Capsaicin ha fatto registrare un picco di attività molto più contenuto. Infatti, i suoi attacchi si sono concentrati tra il 21 e il 22 ottobre 2024, principalmente nell’area geografica dell’Asia Orientale. Nonostante ciò, rimane una botnet estremamente pericolosa, con un modus operandi molto simile a Ficora.

L’infezione di Capsaicin ha inizio attraverso uno script downloader chiamato bins.sh. Una volta che ottiene l’accesso remoto al dispositivo, scarica al suo interno un set di binari con il prefisso yakuza. La botnet prende di mira principalmente architetture ARM, MIPS, SPARC e x86, il ché dimostra la sua capacità di colpire una vasta gamma di dispositivi, soprattuto quelli più comunemente utilizzati.

Il payload malevolo, scritto quasi interamente in linguaggio Assembly, contiene un malware progettato per individuare e disabilitare altre botnet presenti sullo stesso host. Questo perché gli attaccanti intendono garantirsi un certo privilegio di “esclusività” dell’attacco e rimuovere la concorrezza dal controllo delle risorse. Proprio come Ficora, anche Capsaicin è in grado di sferrare attacchi DDoS, ma presenta anche capacità di tracciamento. Infatti, la botnet può raccogliere informazioni dettagliate dell’host e trasmetterle direttamente al server C2 (Command & Control) gestito dai membri di Keksec.

Come proteggersi da botnet e vulnerabilità nei dispositivi D-Link obsoleti?

Proprio per via della loro imprevedibilità, la protezione contro minacce come le botnet Ficora e Capsaicin, richiede una serie di misure da implementare con largo anticipo. Di seguito sono fornite una serie di strategie di protezione e consigli per ridurre al minimo un rischio di compromissione.

• Eseguire costantemente gli aggiornamenti di sistema e gestire a dovere il ciclo di vita dei dispositivi in uso
  Bisogna prendere seriamente in considerazione la prassi di eseguire sempre l’aggiornamento del firmware del dispositivo in uso, non appena la casa madre lo rende disponibile. Inoltre, questo va sostituito prontamente nel momento in cui raggiunge lo stato EoL, in cui gli aggiornamenti di sicurezza vengono interrotti.
• Disabilitare le funzionalità non necessarie
  Alcune vulnerabilità di dispositivi come i router D-Link derivano dall’attivazione di funzionalità superflue, come l’accesso remoto tramite HNAP. Disabilitare queste funzioni se non necessarie riduce significativamente le opportunità per le botnet di sfruttare le falle di sicurezza.
• Implementare impostazioni di rete sicure
  Impostare una rete Wi-Fi protetta con crittografia forte (WPA3), utilizzare password robuste e diverse per ogni dispositivo, e segmentare la rete per separare dispositivi più vulnerabili da quelli più sicuri, sono misure preventive efficaci.
• Monitorare attivamente la rete
  Fare uso di un software di sicurezza che monitori l’attività sospetta, può aiutare a individuare e fermare le botnet prima che possano causare danni significativi. In particolare, la rilevazione in tempo reale di comportamenti anomali, come il traffico di rete sospetto o l’attività di controllo remoto, permette un intervento tempestivo.
• Isolamento dei dispositivi compromessi
  Una volta identificato un dispositivo infetto, bisogna disconnetterlo dalla rete, aggiornarlo o sostituirlo, e rimuovere ogni traccia di malware.

In conclusione

L’emergere degli attacchi contro i router D-Link obsoleti sottolinea un problema di sicurezza impossibile da ignorare. I router fuori supporto, privi di aggiornamenti e patch, sono una porta aperta per i cybercriminali ai nostri dati sensibili e agli assets aziendali. L’adozione di pratiche di sicurezza solide, come l’aggiornamento dei dispositivi e la sostituzione di quelli obsoleti, è fondamentale per evitare che le proprie risorse diventino un bersaglio facile per gli attaccanti.

In un mondo digitale sempre più complesso e interconnesso, è essenziale non abbassare mai la guardia. La sicurezza delle reti dipende in gran parte dalla capacità di identificare e risolvere le vulnerabilità prima che possano essere sfruttate. Non si deve permettere in nessun modo che dispositivi obsoleti compromettano la protezione delle nostre reti. Agire tempestivamente è il primo passo per proteggere dati, risorse e reputazione.