Des attaques DDoS répétées sur Dyn, une société fournissant des services de base pour Twitter, Reddit, PayPal, ainsi que d'autres sites, ont causé une interruption majeure de service Internet entre environ 11h UTC et 18h UTC le 21 octobre 2016. Selon le cabinet de sécurité Flashpoint, les attaques ont été construites au moins en partie sur le dos de dispositifs IoT piratés.
L’expert en sécurité, Brian Krebs, a cité le directeur de Flashpoint de recherche sur la sécurité Allison Nixon en disant qu'au moins une partie de l'attaque a été lancée à base du botnet Mirai, une hypothèse qui est également soutenue par Dale Drew, chef de la sécurité de niveau 3.
Mirai est un malware utilisé pour lancer une attaque DDoS de 620 Gbps sur le site Web de Krebs juste un mois avant l'attaque sur Dyn. Mirai tente d'infecter les appareils IoT en utilisant la force brute pour exploiter des mots de passe faibles et a été publié en open source par son créateur en début de ce mois. L'analyse du code source Mirai a révélé que sa partie de bot est écrite en C, tandis que la partie de commande et de contrôle est écrite en Go. En outre, le dictionnaire de mot de passe qu'il utilise pour chaque fabricant ciblé, ainsi qu'une liste des plages d'adresses IP ignorées sont toutes connues. Curieusement, une fois que Mirai détourne un appareil, il tente d'éradiquer tout autre malware qui peut être en cours d'exécution, dans une tentative de maximiser le potentiel d'attaque de l'appareil et de se défendre contre les autres logiciels malveillants qui pourraient essayer de faire la même chose.
Selon Nixon, au moins un botnet utilisé pour l'attaque sur Dyn a été principalement constitué de DVRs compromis et d’appareil photo numérique par XiongMai Technologies, un OEM chinois. On ne sait toujours pas si d'autres botnets ont pris part dans l'attaque.
Un des problèmes avec Mirai est que les utilisateurs ne sont généralement pas au courant des services SSH et telnet en cours d'exécution sur leurs appareils IoT. En outre, Will Dormann, analyste de vulnérabilité principale au Centre de coordination CERT, a observé que les vendeurs ne simplifient pas souvent la procédure de changement de ces mots de passe pour les utilisateurs. Cela signifie, comme Krebs l'a souligné, que jusqu'à ce qu'il y ait un effort mondial pour rappeler tous les dispositifs non sécurisés, des millions d'entre eux peuvent être facilement abusés dans des attaques du même genre.