Перейти к содержимому
Local
bot

VPNFilter пошел по Mikrotik на 2000 порту

Рекомендованные сообщения

Операторы VPNFilter создали новый ботнет, атакующий маршрутизаторы Mikrotik с открытым портом 2000.

В конце мая общественность всколыхнуло известие о масштабной вредоносной кампании, в рамках которой злоумышленники заразили высокотехничным ПО VPNFilter по меньшей мере 500 тыс. маршрутизаторов и устройств хранения данных по всему миру. Как предполагалось, кампания была связана с подготовкой масштабной кибератаки на Украину в преддверии финала футбольной Лиги чемпионов в Киеве 26 мая. Сотрудникам Федерального бюро расследований США удалось обезвредить ботнет, но, судя по всему, организаторы кампании не намерены останавливаться.

По данным экспертов JASK и GreyNoise Intelligence, операторы VPNFilter создали новый ботнет, атакующий маршрутизаторы Mikrotik с открытым портом 2000, причем злоумышленников интересуют исключительно устройства, расположенные в украинских сетях. Данный факт не стал сюрпризом для исследователей - в начале первой кампании VPNFilter инфицировал маршрутизаторы и NAS-устройства по всему миру, однако с 8 мая переключился на роутеры в Украине. Более того, инфраструктура предыдущей версии ботнета включала C&C-сервер, предназначенный для управления только украинскими маршрутизаторами, отдельно от основного ботнета.

VPNFilter считается одной из наиболее «продвинутых» программ для инфицирования IoT-устройств. Она включает три типа вредоносных модулей: первый обеспечивает присутствие вредоноса на устройстве даже после перезагрузки, функционал второго напоминает троян для удаленного доступа, а третий модуль добавляет дополнительные функции. По словам экспертов, VPNFilter способен стирать прошивку, проводить мониторинг локального трафика, поддерживать связь через Tor и осуществлять сканирование на предмет трафика ICS-устройств в локальной сети. Как правило, подобный функционал характерен для вредоносного ПО, используемого правительственными хакерскими группировками.

Как полагают ФБР и Министерство внутренней безопасности США, за кампанией VPNFilter может стоять группировка APT28, также известная как Fancy Bear, предположительно связанная с РФ.

 

источник: securitylab

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас

  • Сейчас на странице   0 пользователей

    Нет пользователей, просматривающих эту страницу.

  • Похожие публикации

    • Автор: bot
      Компания Intel опубликовала сведения о новой уязвимости (CVE-2018-3665) в механизме спекулятивного выполнения инструкций, которая получила кодовое название LazyFP. Проблема затрагивает только процессоры линейки Intel Core и проявляется при использовании "ленивого" (lazy) режима переключения контекста FPU, при котором реальное восстановление состояния регистров производится не сразу после переключения контекста, а только при выполнении первой инструкции, которая манипулирует восстанавливаемыми регистрами. На чипах Intel Atom/Knights и CPU AMD проблема не проявляется.

      Уязвимости присвоен средний уровень опасности (CVSS 4.3 из 10) - через проведение атаки по сторонним каналам атакующий может определить значения регистров FPU, MMX, SSE, AVX и AVX-512, используемых другим процессом. Например, в данных регистрах могут содержаться параметры для криптографических вычислений и имеющий доступ к локальной системе злоумышленник может попытаться использовать их для определения ключа шифрования. При использовании систем виртуализации проблема может применяться для определения состояния регистров другой гостевой системы или другого процесса в текущей гостевой системе.

      По своей сути уязвимость LazyFP близка к обнародованной в конце мая проблеме Spectre 3a (CVE-2018-3640, RSRE - Rogue System Register Read). Публикация детального описания атаки отложена до августа по просьбе представителей Intel, чтобы дать пользователям время для установки исправлений. В качестве меры для блокирования уязвимости рекомендуется разработчикам ОС перейти от использования режима Lazy FP к режиму Eager FP через установку соответствующих флагов XSAVE или XCR0. Предложенный метод защиты не оказывает негативного влияния на производительность.

      В ядре Linux защита была реализована ещё в феврале 2016 года, путём применения по умолчанию режима Eager FP (eagerfpu=on) и удаления возможности активации Lazy FP. Уязвимость затрагивает ядра Linux до версии 4.6 или системы с процессорами без поддержки инструкции XSAVE (до Sandy Bridge), в которых по умолчанию применялся режим Lazy FP. В старых ядрах Linux для защиты можно использовать опцию "eagerfpu=on", которая присутствует начиная с ядра 3.7. Обновления пакетов с ядром подготовлены для Debian и ожидаются для Ubuntu, SUSE/openSUSE и RHEL (RHEL 7 подвержен уязвимости частично, так как уже использует по умолчанию режим переключения контекста Eager FP на CPU Intel Sandy Bridge и более новых системах). Патчи с устранением проблемы также приняты в кодовые базы FreeBSD, OpenBSD и DragonflyBSD. Отдельно исправления выпущены для гипервизора Xen.

      https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00145.html

      Источник: Opennet
    • Автор: bot
      Стали известны дополнительные подробности о вредоносном ПО VPNFilter, поразившем более 500 тысяч домашних маршрутизаторов. Кроме атак на устройства производства Linksys, MikroTik, Netgear, TP-Link и QNAP факты компрометации также выявлены для различных моделей маршрутизаторов и беспроводных точек ASUS, D-Link, Huawei, Ubiquiti, UPVEL и ZTE (общий список вовлечённых в атаку моделей увеличился с 16 до 72). По новым данным образованный вредоносным ПО VPNFilter ботнет может включать на 200 тысяч устройств больше, чем предполагалось изначально.

      Помимо модулей для анализа трафика и обращения к управляющему серверу через Tor выявлено два новых модуля-плагина, подгружаемых вредоносным ПО для проведения определённых видов атак:

      ssler - модуль для проведения MITM-атак по перехвату и модификации незащищённого web-трафика, проходящего через 80 сетевой порт. Модуль может прикреплять к web-страницам JavaScript-код для эксплуатации уязвимостей в браузерах и сохранять фигурирующие в запросах пароли и идентификаторы сеансов, а также отслеживать обращение к сайтам, подобным accounts.google.com.
      Модуль непосредственно не поддерживает анализ HTTPS, но заменяет в проходящих через него незашифрованных web-страницах, запросах и HTTP-заголовке Location все ссылки "https://" на " http://", вырезает заголовки CSP, а также вычищает в заголовке Accept-Encoding данные о поддержке gzip-сжатия. Подмена приводит к тому, что клиент начинает обращаться к https-ресурсам по http:// без шифрования. Для сайтов google.com, twitter.com, facebook.com и youtube.com, которые поддерживают только HTTPS, незашифрованные HTTP-запросы клиента транcлируются в исходящие запросы HTTPS;

      dstr (device destruction) - модуль для перезаписи файлов прошивок, который повреждает прошивку для приведения устройств к невозможности загрузки (для восстановления требуется перепрошивка с использованием специального оборудования). Модуль вначале пытается удалить файлы и процессы, связанные с VPNFilter, после чего инициирует операцию очистки Flash через заполнение файлов-устройств /dev/mtdX значением 0xFF, а затем выполнение команду "rm -rf /*" для удаления данных в оставшихся ФС.
      Обновлённый список оборудования, которое поражает VPNFilter:

      Asus RT-AC66U, RT-N10, RT-N10E, RT-N10U, RT-N56U, RT-N66U;
      D-Link DES-1210-08P, DIR-300, DIR-300A, DSR-250N, DSR-500N, DSR-1000, DSR-1000N;
      Huawei HG8245;
      Linksys E1200, E2500, E3000, E3200, E4200, RV082, WRVS4400N;
      Mikrotik CCR1009, CCR1016, CCR1036, CCR1072, CRS109, CRS112, CRS125, RB411, RB450, RB750, RB911, RB921, RB941, RB951, RB952, RB960, RB962, RB1100, RB1200, RB2011, RB3011, RB Groove, RB Omnitik, STX5;
      Netgear DG834, DGN1000, DGN2200, DGN3500, FVS318N, MBRN3000, R6400, R7000, R8000, WNR1000, WNR2000, WNR2200, WNR4000, WNDR3700, WNDR4000, WNDR4300, WNDR4300-TN, UTM50;
      QNAP TS251, TS439 Pro и другие модели на базе ПО QTS;
      TP-Link R600VPN, TL-WR741ND, TL-WR841N;
      Ubiquiti NSM2 и PBE M5;
      Upvel (конкретные модели не сообщаются)
      ZTE ZXHN H108N.

      Пользователям отмеченных устройств рекомендуется как минимум перезагрузить устройство, но данное действие приведёт лишь к временной деактивации основного компонента вредоносного ПО, так как код загрузчика VPNFilter интегрируется в прошивку и не удаляется после перезагрузки. Правоохранительные органы проделали работу по блокировке серверов для автоматической загрузки основной части VPNFilter, но в загрузчике вредоносного ПО остаётся возможность пассивного отслеживания в трафике специальных пакетов с данными о новом хосте для подключения.

      В некоторых моделях устройств можно избавиться от загрузчика вредоносного ПО через сброс к заводским настройкам (следует удерживать кнопку на задней панели от 5 до 10 секунд). Желательной мерой является обновление прошивки, а также установка надёжного пароля, отключение дополнительных протоколов удалённого управления и ограничение внешнего доступа к устройству и его web-интерфейсу.

      Проверка наличия вредоносного ПО в устройстве проблематична, так как VPNFilter может находиться в пассивном режиме и никак не проявлять себя. В качестве действенной меры определения VPNFilter упоминается сохранение дампа текущей прошивки и сравнение контрольной суммы с эталонным вариантом от производителя, но данный метод слишком сложен для рядовых пользователей. Также возможен разбор начинки прошивки: о наличии вредоносного ПО в системе может указывать наличие файлов/каталогов /var/run/vpnfilter, /var/tmp/client.key, /tmp/client.key, /etc/init/security, /etc/loader/init.x3, /etc/devel-login или /etc/loader/.
       
      источник: opennet
    • Автор: bot
      На сайте Cisco Talos сообщается, что вирусом поражены примерно 500 тысяч устройств в 54 странах мира, но именно в Украине инфицирование идет активнее всего. Компания Cisco Systems Inc. заявила , что хакеры, «за которыми стоит правительство России», возможно, готовят масштабную кибератаку на госструктуры Украины.

      Вредоносное программное обеспечение, получившее условное название VPNFilter, поражает сетевую аппаратуру, в частности роутеры и накопители. С помощью утилиты злоумышленники могут не только похищать данные о сайтах, но и выводить из строя цифровые устройства.

      По данным Cisco, VPNFilter заражает устройства Linksys, MikroTik, Netgear и TP-Link потребительского и офисного сегментов, а также сетевые накопители (NAS) производства Qnap. Защита от нее затруднена, поскольку уязвимые устройства - это в основном периферия без технологии сетевой защиты IPS и антивируса.

      Эксперты Talos отмечают сходство VPNFilter с вредоносными программами хакерской группы Blackenergy, которой приписывается авторство вирусов Petya/NotPetya. Вирус NotPetya в июне 2017 г. атаковал сети украинских министерств, банков, мобильных операторов, крупных предприятий. Нападению также подверглись системы США, Индии и Дании. Кроме того, на атаку пожаловались и российские компании, среди которых «Роснефть» и «Башнефть». Всего вирус Petya (NotPetya и ExPetr) проник в 12 500 компьютеров в 65 странах.

      Служба безопасности Украины заявила, что подготовка кибератаки приурочена к финалу футбольной Лиги чемпионов в Киеве, который состоится 26 мая. «Подобные атаки отмечались по всему миру начиная с 2016 года. Однако, по полученной информации, на этот раз географическая нацеленность атаки направлена именно на украинский сегмент сети интернет»,— говорится в сообщении СБУ.
       
      Источник: securitylab
    • Автор: bot
      Исследователи, в свое время обнаружившие уязвимости Meltdown и Spectre, независимо от своих амстердамских коллег представили свой вариант атаки, получивший название Nethammer. По словам исследователей, Nethammer работает без какого-либо управляемого злоумышленником кода и атакует системы, использующие при обработке сетевых запросов некэшированную память.

      Для того чтобы разъяснить принцип действия Nethammer, необходимо вспомнить, как работает Rowhammer. В результате быстрой записи и перезаписи памяти возникают ошибки, и в результате злоумышленник может манипулировать поврежденными данными с целью получения контроля над атакуемым компьютером. Rowhammer позволяет злоумышленнику повысить свои привилегии до уровня ядра, однако для этого требуется физический доступ к компьютеру.

      Nethammer позволяет атаковать удаленно с помощью памяти, используемой для обработки пакетов (при условии их достаточного количества). «Nethammer отправляет на атакуемое устройство особым образом сконфигурированный поток сетевых пакетов для осуществления одноточечной или односторонней атаки Rowhammer путем эксплуатации используемых на устройстве технологий quality-of-service. Для каждого полученного пакета открывается доступ к нескольким адресам либо в драйвере ядра, либо в приложении в пространстве пользователя», - пишут исследователи.

      При нормальных условиях кэширование существенно усложняет осуществление атаки, однако исследователи разработали метод, позволивший им обойти кэш и атаковать непосредственно DRAM с целью разбиения ячеек памяти, необходимого для атаки Rowhammer.
       
      Источник: securitylab
×