В начале 2026 года в сети спортивного объекта обнаружили видеорегистратор с подключённой камерой, заражённый ботнетом Mirai. Устройство оказалось не только жертвой, но и инструментом: оно передавало наружу данные клиента. Через несколько месяцев активность повторилась. Инцидент касается организации, где информационная безопасность долгое время оставалась частью эксплуатации арен и трансляций, а не отдельной задачей.
Описание
Ботнет - это сеть заражённых устройств, которой удалённо управляет оператор. Mirai появился в августе 2016 года и прославился масштабными атаками типа "отказ в обслуживании" (DDoS). При таком нападении множество устройств одновременно обращаются к цели и выводят её из строя. Жертвами обычно становятся камеры, роутеры и регистраторы, то есть всё, что относят к интернету вещей (IoT). Такие устройства годами работают с заводскими паролями и открытыми сервисами. Один из вариантов Mirai, получивший имя Katana, заметили в конце 2020 года. Он умеет больше: поддерживает собственный командно-контрольный сервер (C2-сервер), закрепляется в системе и выгружает данные. После публикации исходного кода Mirai в открытом доступе появились десятки его модификаций, и Katana - одна из самых заметных.
Наблюдения за пострадавшим устройством начались с нетипичной для него активности. Регистратор запустил загрузку файлов из командной строки - инструмент, которым администраторы обычно ставят обновления. С его помощью устройство вытянуло исполняемые файлы для Linux с внешнего адреса, который в этой сети раньше не появлялся. Спустя несколько часов регистратор отправил наружу почти 3 ГБ данных. Получателем был сервер, арендованный у хостинг-провайдера. Злоумышленники часто используют такую инфраструктуру, чтобы их трафик не выделялся на фоне обмена с облачными сервисами. Похожие передачи данных шли ещё на несколько редких адресов, которые открытые источники связывают с Mirai.
По данным Darktrace, служба мониторинга уведомила клиента об инциденте. Задача такой службы - замечать отклонения в поведении устройств и сообщать о них владельцу инфраструктуры. Однако автоматическое блокирование подозрительной активности на этом устройстве так и не включили. Из-за этого остановить заражение и помешать его возвращению не удалось. Уведомление приходило, но без автоматического ответа регистратор продолжал работать в прежнем режиме.
Через несколько месяцев активность возобновилась и выглядела убедительнее. К веб-интерфейсу регистратора пошли входящие подключения с внешнего адреса, связанного с ботнетом Katana. Запросы адресовались странице управления устройством, а в качестве имени учётной записи использовалось стандартное имя главного администратора, которое задано по умолчанию. При этом подключения выдавали себя за обычный браузер, хотя никакого браузера за ними не было. Часть запросов вообще не имела отношения к работе видеонаблюдения. Затем устройство снова скачало исполняемые файлы, а вскоре число подключений к нему резко выросло. Похоже, подбор пароля завершился успехом.
Дальше последовала новая утечка: почти 4 ГБ данных ушли на адреса, которые связывают с Mirai. Передача шла через нетипичные сетевые порты. Отдельно выросло число сетевых запросов к редким адресам. Суммарно за оба эпизода устройство передало наружу около семи гигабайт данных. С высокой уверенностью подтвердить, что все эти события - дело рук именно Mirai, не удалось. Но характер картины позволяет предположить, что вариант Katana умеет не только рассылать атаки, но и выкачивать информацию.
Заражённое периферийное устройство ценно для атакующего по нескольким причинам. Оно работает круглосуточно, почти не имеет защиты и редко привлекает внимание администраторов. С его помощью можно рассылать атаки отказа в обслуживании, доставлять вредоносное ПО другим узлам сети и годами сохранять доступ к инфраструктуре. Для владельца такое устройство остаётся обычной камерой, которая просто продолжает писать видео.
Границы распространения оказались шире, чем ожидалось. Другой клиент, владелец открытого сервера точного времени, получал подключения с того же внешнего адреса, что фигурировал в первом эпизоде. Значит, Mirai Katana нацелен не только на устройства интернет вещей. В марте 2026 года команда реагирования Nokia Deepfield описала Katana как производный от Mirai ботнет, который заражает Android-приставки телевизоров через открытый отладочный интерфейс. Для скрытного закрепления вариант использует руткит - набор программ, который прячет присутствие злоумышленника в системе.
Спортивная отрасль уязвима в этом смысле особенно. Умные стадионы, системы видеонаблюдения, датчики на аренах расширяют поверхность атаки. Камеры, датчики и регистраторы при этом редко попадают в контур мониторинга. Их ставят подрядчики, обслуживает техническая служба, обновления прошивок выходят нерегулярно, а заводские пароли часто остаются на месте. При этом такие устройства подключены к сети, а иногда и к сегментам с чувствительными данными. Обслуживать такое хозяйство сложнее, чем парк корпоративных ноутбуков. Поэтому наблюдение за периферией имеет смысл выстраивать заранее, до первого инцидента.
Что делать в такой ситуации, известно давно, но соблюдается редко. Заводские учётные данные меняют сразу после установки. Прошивки обновляют по графику, а не по факту инцидента. Устройства выводят в отдельный сегмент сети, чтобы заражённая камера не дотянулась до бухгалтерии или билетной системы. Панели управления видеорегистраторами закрывают от прямого доступа из интернета. Наконец, следят за поведением самих устройств: камера, внезапно начавшая отправлять гигабайты данных наружу, - плохой признак. Заметить это можно только при наличии наблюдения за всем сетевым хозяйством, а не только за серверами и рабочими станциями.
Индикаторы компрометации
