Camera de pe holul unei firme, DVR-ul uitat într-un dulap și routerul primit de la furnizorul de internet au ceva în comun: dacă nu sunt actualizate și au parole implicite, pot ajunge să lucreze pentru infractori. Primăvara lui 2026 a arătat cât de mare a devenit fenomenul, prin două operațiuni internaționale împotriva rețelelor de dispozitive compromise și prin apariția unor noi variante de malware care vânează exact acest tip de echipamente.
Cele mai mari botneturi DDoS, destructurate
Pe 19 martie 2026, Departamentul de Justiție al SUA a anunțat o operațiune autorizată de instanță împotriva infrastructurii de comandă a patru botneturi: Aisuru, KimWolf, JackSkid și Mossad. Acțiunea a fost coordonată cu autoritățile din Canada și Germania, care au vizat persoanele care operau rețelele. Potrivit documentelor din dosar, cele patru botneturi infectaseră peste trei milioane de dispozitive, majoritatea echipamente IoT: înregistratoare video digitale, camere web și routere Wi-Fi.
Accesul la aceste dispozitive era vândut altor infractori, după modelul „criminalitate ca serviciu”, și folosit pentru sute de mii de atacuri de tip DDoS. Unele dintre ele au atins aproximativ 30 de terabiți pe secundă, valori record. Anchetatorii au mai observat că KimWolf și JackSkid reușeau să infecteze și dispozitive aflate, în mod normal, în spatele unui firewall.
Routere transformate în „proxy-uri rezidențiale”
Cu o săptămână mai devreme, pe 12 martie 2026, FBI a publicat o alertă despre malware-ul AVrecon, folosit de serviciul SocksEscort, desființat printr-o operațiune comună cu Europol și poliții din Franța, Olanda și Austria. Echipamentele infectate erau închiriate ca „proxy-uri rezidențiale”, pentru ca atacatorii să-și ascundă urmele în spatele conexiunii unei victime nevinovate. FBI estimează că serviciul a compromis și vândut accesul la aproximativ 369.000 de dispozitive din 2020 încoace, din circa 1.200 de modele ale mai multor producători, printre care routere și camere IP. Cele mai multe erau routere de birou mic sau de acasă, compromise prin vulnerabilități critice, iar multe erau ieșite din suport.
Mirai nu a dispărut
În aprilie 2026, cercetătorii de la Fortinet și Akamai au documentat două variante noi ale vechiului Mirai. Una, numită Nexcorium, folosește o vulnerabilitate de injectare de comenzi (CVE-2024-3721) în DVR-uri TBK. Cealaltă, „tuxnokill”, se răspândește printr-o vulnerabilitate din 2025 a unor routere D-Link (CVE-2025-29635), rămasă neexploatată un an întreg după publicare. Rețeta este aceeași de ani buni: defecte cunoscute, echipamente ieftine și neactualizate, parole din fabrică.
De ce vă privește
Un echipament inclus într-un botnet nu dă neapărat semne vizibile. Poate funcționa aparent normal, în timp ce consumă din banda de internet, atacă alte ținte sau servește drept punct de intrare spre rețeaua internă. Pentru o instituție publică, faptul că adresa sa IP apare în atacuri sau în fraude poate aduce blocări, investigații și probleme de imagine.
Ce recomandăm
- Schimbați parolele implicite pe toate camerele, DVR/NVR-urile și routerele, cu parole unice pentru fiecare echipament.
- Înlocuiți echipamentele fără suport. Un router sau un DVR care nu mai primește actualizări rămâne vulnerabil definitiv.
- Dezactivați UPnP și serviciile P2P/cloud pe care nu le folosiți, și închideți porturile redirecționate către camere.
- Puneți echipamentele IoT într-un VLAN separat, fără acces la serverele și calculatoarele administrative.
- Urmăriți traficul de ieșire. Un DVR care trimite volume mari de date spre internet, fără motiv, trebuie verificat.
- Reporniți și resetați echipamentele suspecte la setările din fabrică, apoi aplicați firmware-ul la zi: actualizarea singură nu elimină neapărat o infecție existentă.
Concluzie
Operațiunile poliției taie capul rețelelor, dar dispozitivele vulnerabile rămân și pot fi recrutate din nou. Dacă vreți să știți ce echipamente din rețeaua dumneavoastră sunt expuse, Southwest Digital vă poate ajuta cu un inventar și o verificare de securitate a camerelor și routerelor.
Surse
- U.S. Department of Justice – Authorities disrupt world’s largest IoT DDoS botnets
- BleepingComputer – International joint action disrupts world’s largest DDoS botnets
- FBI / IC3 – AVrecon Malware-Infected Routers Exploited as Residential Proxies by SocksEscort
- Help Net Security – New Mirai variants target routers and DVRs
- The Hacker News – Mirai variant Nexcorium exploits CVE-2024-3721