Mirai: La Minaccia Persistente e la Nuova Variante che Prende di Mira i Router D-Link

La sicurezza informatica è un campo in costante evoluzione, un campo di battaglia digitale dove minacce vecchie e nuove si contendono costantemente il controllo. Tra le minacce più pervasive e resilienti che gli specialisti della cybersecurity hanno dovuto affrontare negli ultimi anni, la botnet Mirai spicca per la sua longevità e la sua capacità di adattarsi. Le prime tracce di questa famigerata entità malevola risalgono a quasi un decennio fa, e nonostante gli sforzi continui per contrastarla, Mirai continua a riemergere in nuove e più insidiose forme.

Recentemente, i ricercatori di Akamai, un’azienda leader nella fornitura di servizi di rete e sicurezza, hanno lanciato l’allarme riguardo a una nuova variante di Mirai. Questa iterazione preoccupante sfrutta una vulnerabilità specifica, identificata come CVE-2025-29635, che affligge una serie di router della marca D-Link, in particolare i modelli appartenenti alla serie DIR-823X. L’infezione di questi dispositivi apre le porte a un uso improprio per condurre attacchi DDoS (Distributed Denial of Service), mettendo a rischio la disponibilità di servizi online e infrastrutture critiche.

La Lunga Ombra di Mirai: Un’Analisi Storica

Per comprendere appieno la minaccia attuale, è fondamentale fare un passo indietro e analizzare la storia di Mirai. Nata nel 2016, questa botnet si è rapidamente distinta per la sua strategia iniziale: sfruttare le credenziali predefinite e deboli dei dispositivi IoT (Internet of Things) per infettarli e reclutarli in una rete di macchine compromesse. Router, telecamere IP, DVR e altri dispositivi connessi, spesso sprovvisti delle opportune misure di sicurezza, sono diventati i bersagli prediletti di Mirai.

Le Origini e la Prima Ondata di Attacchi

La prima apparizione pubblica di Mirai è stata accompagnata da attacchi di proporzioni notevoli. La botnet è diventata famosa per aver orchestrato attacchi DDoS di vasta scala, alcuni dei quali hanno preso di mira infrastrutture critiche e nomi noti nel panorama tecnologico. Uno degli attacchi più eclatanti attribuiti a Mirai ha riguardato il sito web di Brian Krebs, un noto giornalista specializzato in cybersecurity, bloccandolo per giorni con un traffico di attacco che ha raggiunto i 620 Gbps. Poco dopo, Mirai è stata utilizzata per attaccare OVH, un provider di hosting francese, con un attacco ancora più massiccio da 1 Tbps.

L’Evoluzione e la Diversificazione

Ciò che rende Mirai così persistente è la sua capacità di evolversi. Dopo la pubblicazione del codice sorgente della botnet nel 2016, numerosi attori malevoli hanno avuto la possibilità di studiarla, modificarla e creare le proprie varianti. Questa frammentazione ha portato a un panorama di minacce ancora più complesso, con diverse famiglie di malware che condividono caratteristiche e metodi di attacco simili a quelli di Mirai.

Le varianti successive hanno iniziato a esplorare nuove vulnerabilità e vettori di attacco. Invece di affidarsi esclusivamente alle credenziali deboli, alcune versioni hanno iniziato a sfruttare vulnerabilità specifiche in firmware di dispositivi IoT. Questo è esattamente il modus operandi della nuova variante individuata da Akamai.

La Nuova Minaccia: Mirai e la Vulnerabilità CVE-2025-29635 sui Router D-Link

La recente scoperta da parte di Akamai getta una nuova luce sulla continua evoluzione di Mirai. La vulnerabilità CVE-2025-29635 rappresenta un punto debole critico all’interno del firmware di specifici modelli di router D-Link DIR-823X. I dettagli tecnici della vulnerabilità non sono stati completamente divulgati pubblicamente al momento della segnalazione per evitare un uso improprio su larga scala, ma si presume che permetta a un attaccante remoto di eseguire codice arbitrario sul dispositivo.

Come Avviene l’Infezione?

L’infezione tramite la vulnerabilità CVE-2025-29635 avviene in genere in modo silenzioso e automatico. Una volta che un router D-Link vulnerabile è esposto a Internet, la nuova variante di Mirai può scansionare attivamente la rete alla ricerca di dispositivi con questa falla aperta. Senza intervento umano, il malware sfrutta la vulnerabilità per ottenere l’accesso al router, installare il proprio codice malevolo e incorporare il dispositivo compromesso nella botnet.

Le Conseguenze: Attacchi DDoS Amplificati

Una volta che un router viene infettato, diventa parte di una vasta rete di dispositivi zombie controllati dall’attaccante. Questi dispositivi vengono poi utilizzati per orchestrare attacchi DDoS. Un attacco DDoS mira a sovraccaricare un server, un servizio o una rete con un flusso travolgente di traffico Internet, rendendolo inaccessibile agli utenti legittimi.

Nel caso di Mirai, la sua forza risiede nel numero elevato di dispositivi compromessi che può orchestrare. Ogni router infetto contribuisce con la propria larghezza di banda e potenza di elaborazione all’attacco. Questo permette agli attaccanti di generare volumi di traffico enormi, in grado di abbattere anche infrastrutture resilienti. L’uso di router domestici e aziendali compromessi amplifica ulteriormente la portata e l’efficacia di questi attacchi.

Proteggere i Router D-Link e Altri Dispositivi IoT

La scoperta di questa nuova variante di Mirai sottolinea l’urgente necessità di adottare misure di sicurezza proattive per proteggere i dispositivi IoT, in particolare i router. Sia gli utenti domestici che le piccole e medie imprese sono a rischio se non prendono le dovute precauzioni.

Aggiornamenti del Firmware: La Prima Linea di Difesa

La misura di sicurezza più importante e spesso sottovalutata è l’aggiornamento regolare del firmware dei propri dispositivi. Le vulnerabilità come la CVE-2025-29635 vengono scoperte e, fortunatamente, spesso corrette dai produttori.

• Router D-Link DIR-823X: Per i possessori di questi modelli specifici, è cruciale visitare il sito ufficiale di D-Link e verificare se è disponibile un aggiornamento del firmware che corregga la vulnerabilità CVE-2025-29635. Se l’aggiornamento è disponibile, procedere all’installazione il prima possibile seguendo le istruzioni del produttore.
• Altri Router e Dispositivi IoT: Non limitarsi solo ai router D-Link. È una buona pratica verificare periodicamente gli aggiornamenti del firmware per tutti i router, telecamere di sicurezza, smart TV, assistenti vocali e qualsiasi altro dispositivo connesso alla rete.

Modificare le Credenziali Predefinite

Molte botnet, inclusa Mirai nelle sue forme originali, prosperano ancora grazie alle credenziali di accesso predefinite.

• Cambiare Password: Se non lo si è già fatto, è assolutamente fondamentale cambiare la password di amministrazione predefinita del router con una password forte e unica. Utilizzare una combinazione di lettere maiuscole e minuscole, numeri e simboli.
• Evitare Password Comuni: Non utilizzare password che sono facilmente indovinabili, come “admin”, “password123” o sequenze numeriche semplici.

Disabilitare Servizi Non Necessari

Alcuni servizi configurati sui router potrebbero non essere necessari per l’uso quotidiano e potrebbero rappresentare una potenziale superficie di attacco.

• Accesso Remoto: Se non si ha la necessità di accedere alle impostazioni del router da una rete esterna, è consigliabile disabilitare la funzionalità di accesso remoto (remote access).
• UPnP (Universal Plug and Play): Sebbene utile per alcuni scenari, UPnP può essere sfruttato da malware per aprire porte nel firewall del router. Valutare se la sua disabilitazione sia una scelta praticabile per la propria rete.

Configurazione della Rete

Una corretta configurazione della rete può aggiungere ulteriori livelli di protezione.

• Firewall: Assicurarsi che il firewall del router sia abilitato e configurato correttamente.
• Guest Network: Se il router supporta la creazione di una rete ospiti separata, utilizzarla per i dispositivi degli ospiti o per i dispositivi IoT meno fidati. Questo isola questi dispositivi dalla rete principale.

Monitoraggio e Consapevolezza

Essere consapevoli delle minacce in corso è un passo importante.

• Segnali di Compromissione: Prestare attenzione a eventuali comportamenti anomali del router, come luci lampeggianti in modo insolito, prestazioni lente della rete o impossibilità di accedere a determinati siti web.
• Fonti Affidabili: Seguire le raccomandazioni di sicurezza da fonti attendibili come i produttori di hardware, le agenzie di sicurezza informatica e i team di ricerca sulla cybersecurity.

La Sfida Continua del Panorama IoT

La persistenza di Mirai e la sua continua capacità di adattarsi a nuove vulnerabilità evidenziano una sfida fondamentale nel panorama della sicurezza IoT. La rapida proliferazione di dispositivi connessi, spesso progettati con un focus sulla funzionalità e sul costo anziché sulla sicurezza, ha creato un terreno fertile per botnet come Mirai.

La Responsabilità dei Produttori

È evidente che una parte significativa della responsabilità ricade sui produttori di dispositivi IoT. Devono garantire che i loro prodotti siano progettati con la sicurezza integrata fin dall’inizio e che vengano forniti aggiornamenti regolari del firmware per correggere le vulnerabilità scoperte. La mancanza di supporto a lungo termine per la sicurezza dei dispositivi IoT è una delle cause principali della loro vulnerabilità.

Il Ruolo degli Utenti e delle Aziende

Tuttavia, anche gli utenti finali e le aziende giocano un ruolo cruciale. La negligenza nel cambiare le password predefinite, nell’aggiornare il firmware o nel configurare correttamente i propri dispositivi apre involontariamente le porte agli attaccanti. La consapevolezza della sicurezza e l’adozione di pratiche di base possono fare una differenza enorme.

Conclusione: Un Futuro di Vigilanza Costante

La botnet Mirai, con la sua storia quasi decennale e le sue continue mutazioni, rimane una delle minacce più significative nel cyberspazio. La nuova variante che sfrutta la vulnerabilità CVE-2025-29635 nei router D-Link è un ulteriore promemoria che gli attaccanti sono sempre alla ricerca di nuovi modi per sfruttare le debolezze.

La lotta contro Mirai e minacce simili richiede uno sforzo congiunto. I ricercatori devono continuare a identificare e segnalare nuove vulnerabilità. I produttori devono assumersi la responsabilità di fornire prodotti sicuri e supporto continuo. E gli utenti devono essere proattivi nell’adottare misure di sicurezza di base. Solo attraverso una vigilanza costante e un impegno condiviso per la sicurezza, possiamo sperare di mitigare l’impatto di queste minacce persistenti e proteggere il nostro mondo sempre più connesso. La capacità di Mirai di evolversi è un monito: nella cybersecurity, l’immobilità equivale alla sconfitta.