Бэкдор NyaDrop атакует IoT-устройства

Бэкдор NyaDrop атакует IoT-устройства

Устройства IoT (Internet of Things) с жестко запрограммированными по умолчанию данными для входа все чаще становятся мишенью для недавно обнаруженной вредоносной программы под Linux.

Новая угроза для Linux NyaDrop была замечена полгода назад в некоторых атаках. На тот момент этот вредонос не мог успешно заразить устройства, так как не был хорошо реализован, об этом говорится в посте на Malware Must Die. Однако в последнее время вредоносная программа получила ряд усовершенствований.

По словам экспертов, основная причина этих атак кроется в давно известной уязвимости, связанной с тем, что производитель использует в устройствах по умолчанию известные данные для входа. Данный бэкдор ориентирован на уязвимые маршрутизаторы и аналогичные сетевые устройства, основанные на архитектуре процессора MIPS.

Как и другие вредоносные программы для IoT-устройств, NyaDrop использует в своей атаке метод брутфорс (brute-force), подбирая логин и пароль. Как полагают эксперты, авторы вредоноса сосредоточены на подконтрольном распространении, не ставя задачи сделать это максимально быстро. Таким образом, злоумышленники атакуют только конкретные IP.

Исследователи считают, что злоумышленник проверяет данные CPU, чтобы атаковать именно MIPS-устройства, избегая ARM и PPC. После того, как злоумышленник обнаружит уязвимую машину, на нее устанавливается NyaDrop.

NyaDrop представляет собой бэкдор под Linux, который открывает сокет AF_INET для подключения к серверу злоумышленника, что позволит получить любой исполняемый файл Linux и продолжить заражение устройства. Полученные об устройстве данные сохраняются во вредоносном ELF-файле с именем «nya».

Исполняемый файл вредоносной программы написан на C и имеет небольшой размер. Исследователи также отмечают, что детектировать этот бэкдор на основе хэш-сигнатур не получится, так как сам процесс заражения подразумевает создание нескольких хэшей.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Мошенники запустили фейковые фотосессии, похищают деньги девушек-моделей

Новая мошенническая кампания использует тему фотосессий и направлена в первую очередь на девушек. Злоумышленники предлагают потенциальным жертвам бесплатную профессиональную съёмку, а в конце похищают их деньги и данные банковских карт.

Чтобы бесплатно пофотографироваться, надо оформить почасовую аренду соответствующей студии. Мошенники прикрываются легендой начинающего фотографа, которому нужно набить руку.

Как рассказали «Известиям» специалисты F.A.C.C.T., обнаружившие кампанию вместе с сотрудниками Московского уголовного розыска, злоумышленники предлагают услуги по модели TFP (Time for Prints — «Время за отпечатки»).

Эта схема предполагает бесплатные услуги фотографа при условии почасовой оплаты студии со стороны клиента. Для убедительности девушкам отправляют ссылки на веб-сайты фотостудий с профессиональным оборудованием и реквизитом.

На деле эти ресурсы являются мошенническими и созданы лишь с одной целью — усыпить бдительность потенциальной жертвы, придав кампании безобидный вид.

Специалисты F.A.C.C.T. насчитали 26 фейковых сайтов. По их оценкам, кампанию запустили в конце 2023 года, а в первом квартале 2024-го она начала набирать обороты.

Если модель клюнула на уловку, ей предлагают выбрать на сайте локацию и реквизит, а также забронировать дату и время съёмки. После этого нужно оплатить аренду — от 1800 до 3000 рублей, отдельно идёт плата за стилиста и желаемый реквизит.

Жертву отправляют на другой ресурс, который якобы относится к платёжному сервису, и уже предлагают сделать перевод по реквизитам банковской карты. Здесь не обходится без кода подтверждения, отравленного в СМС-сообщении, однако все данные уходят прямиком злоумышленникам.

На втором этапе с жертвой связываются, чтобы сообщить об отмене брони и предлагают вернуть деньги. Девушка получает ссылку на «страницу возврата средств», где есть уже привычные поля для ввода данных карты.

Если модель укажет эту информацию, у неё повторно снимут деньги.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru