Attention au botnet IoT « Dark Nexus ».

Référence
tunCERT/Alert.2025-34
Date version
2020-04-08T12:00:00
Description

Récemment, des attaques par déni de service distribuées DDoS ont été signalées sur le net. D’après les dernières analyses, ces attaques ont été causées par un nouveau botnet baptisé « Dark Nexus ». Ce dernier a inspiré les fonctionnalités des fameux botnets « Mirai » et « Qbot» pour cibler les périphériques IoT : routeurs, caméra IP de surveillance, enregistreurs vidéo numériques (DVR), caméra thermique, etc.En effet, Dark Nexus se propage via l’envoi de masse des Spams, la technique de Brute Force des services Telnet faiblement sécurisés et par l’exploitation des vulnérabilités du serveur web JAWS intégrés dans les périphériques DVRs, Netgear DGN1000 et Linear eMerge E3-Series CVE-2019-7256 .D’autres périphériques semblent affectés tels que les routeurs Dasan Zhone, Dlink et ASUS. Une fois installé, Dark Nexus communique avec des serveurs C&Cafin de recevoir les commandes d’attaque. Pour l’instant, au moins 1 400 périphériques ont été infectés dont la majorité étant hébergée en Chine, en République de Corée, en Thaïlande et au Brésil.Pour s’en protéger, nous vous conseillons d’être vigilant et de suivre les mesures préventives suivantes :Pour les simples utilisateurs

  • Changer le mot de passe par défaut par un autre plus robuste pour l’administration sécurisée de votre périphérique IoT. 

  • S’assurer que le micrologiciel / Firmeware de votre périphérique IoT est à jour. Vérifier l'authenticité des expéditeurs avant la lecture de chaque message reçu par e-mail ou affiché sur votre mûr de Facebook / Twitter / Instagram et en cas de doute n’y répondez pas, ne cliquez pas sur les liens hypertextes ou les images qu’il contient et supprimer le immédiatement. 

    Pour les entreprises et les fournisseurs de service Internet 

  • Blacklister les adresses IP suivantes : 66.175.210.74 / 51.15.120.245 / 45.33.73.134 / 190.115.18.144 / 190.115.18.28 / 51.159.52.250 / 190.115.18.86 / 192.168.100.210 / 192.168.100.27 / 192.168.110.135 / 45.33.84.114 / 45.56.102.170. 
  • Bloquer tout accès aux URLs : switchnets[.]net:30047 / thiccnigga[.]me:30047 / et switchnets[.]net:80. 
  • Scanner les réseaux où vos périphériques IoT sont installés afin de déterminer les failles puis procéder à les corriger en installant les patchs correctifs depuis les sources officielles.

Source(s) dinformations:

Date de publication