Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами
Акция от Infosecurity! Обучайте сотрудников с выгодойПодключайте сервис TRAINING CENTER. Организацию и контроль обучения берем на себя:
• Разработаем индивидуальные шаблоны учебного фишинга.
• Сформируем учебные группы и проведем учебные фишинговые атаки.
• Проконтролируем процесс и определим результаты.

При заключении договора сроком на 1 год и более – сопровождение бесплатно.
Набор и стоимость услуг зависят от количества пользователей, и размер скидки уточняйте у менеджера.

→ Оставить заявку
Реклама. Рекламодатель ООО «ИС», ИНН 7705540400, 18+

Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Исследователи из Alien Labs компании AT&T выявили новую вредоносную программу, нацеленную на сетевые и IoT-устройства. Linux-зловред с кодовым именем BotenaGo ищет потенциально уязвимые мишени и пытается применить эксплойты, коих у него более трех десятков.

На момент анализа написанные на Go боты, по словам экспертов, плохо детектились антивирусами. По состоянию на 14 ноября их распознают половина защитных решений из коллекции VirusTotal (29/60), некоторые — с вердиктом Mirai, но DDoS-функциональности у новобранца не обнаружено.

После запуска BotenaGo включает счетчик заражений, чтобы информировать оператора об успехах.

 

После этого вредонос ищет папку dlrs для загрузки своих шелл-скриптов. Если эта папка не найдена, он прекращает свою работу. В противном случае происходит вызов функции scannerInitExploits, отвечающей за подготовку площади атаки — сопоставление эксплойтов с сигнатурами целевых систем.

 

Сама атака происходит следующим образом: BotenaGo отправляет простой запрос GET, ищет в ответе знакомую строку (сигнатуру) и, обнаружив совпадение, пускает в ход эксплойт.

Список уязвимостей, используемых зловредом (только те, что имеют CVE-идентификатор), в разделении по производителям устройств:

Поиск по Shodan строки Server: Boa/0.93.15, которая для бота является сигналом к атаке, показал около 2 млн потенциально уязвимых устройств. Результаты по строке Basic realm=\"Broadband Router\, на которую вредонос реагирует эксплойтом CVE-2020-10173 для Comtrend VR-3033, оказались скромнее, но тоже впечатляющими — 250 тыс. потенциальных мишеней.

Команды BotenaGo получает двумя способами: прослушивает порты 31412 и 19412 (на последнем получает IP-адрес цели) или использует терминал системы. Так, при работе зловреда локально в виртуальной машине оператор может подавать команды через Telnet.

После успешного эксплойта бот по идее должен продолжать атаку, используя присланную ссылку. Однако определить его дальнейшие действия не удалось: к моменту анализа вся полезная нагрузка уже была удалена с сервера BotenaGo.

Из-за отсутствия активной связи зловреда с C2-сервером исследователям осталось только гадать о причинах его появления в интернете. По мнению Alien Labs, варианты могут быть такими:

  1. BotenaGo является частью тулкита; в этом случае должен существовать другой модуль, передающий ему IP-адреса целей или обновляющий такую информацию на C2. 
  2. Ссылки на полезную нагрузку говорят о связи с Mirai; не исключено, что BotenaGo — новый инструмент, который операторы Mirai задействуют лишь на определенных устройствах в составе ботнета, отдавая команды вручную. 
  3. BotenaGo проходит бета-тестирование, и его код случайно слили в Сеть.

Как бы то ни было, зловред с таким богатым арсеналом составляет большую угрозу для многочисленных устройств, прошивки которых редко обновляются. Эксперты предупреждают, что число эксплойтов, которыми оперирует BotenaGo, может со временем возрасти.

Заметим, для Mirai-подобных ботнетов и аналогов использование большого количества эксплойтов для наращивания потенциала — не редкость. Достаточно вспомнить Satori, Hakai, Mozi и совсем недавний Gitpaste-12.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Количество инцидентов, связанных с утечками данных, выросло на 80%

Согласно данным центра мониторинга внешних цифровых угроз Solar AURA, за первые три квартала 2024 года эксперты зафиксировали 569 инцидентов, связанных с утечками данных.

Это на 80% больше, чем за аналогичный период 2023 года и на треть превышает суммарный уровень прошлого года.

Однако эксперты обращают внимание на то, что украденные данные попали в Сеть в частичном или полном объеме лишь в 55% случаев (316 инцидентов).

О части из них можно судить только по фрагментам опубликованных баз, архивов или по отчетам киберпреступных группировок. В статистику также попали данные, которые относятся к 2023 году, но о которых стало известно в 2024 году.

Количество строк скомпрометированных данных год к году увеличилось на 15%, до 800 млн. При этом из статистических данных за 2023 год была исключена утечка, связанная с публикацией 4 млрд строк преимущественно технической информации, которая не является существенно важной с точки зрения кибербезопасности.

Общий объем опубликованных данных, однако, снизился на 95% — до 5 терабайт, что обусловлено уменьшением числа инцидентов, в ходе которых злоумышленники получили доступ глубоко внутрь инфраструктуры компании и смогли добраться до больших массивов неструктурированной информации.

Впрочем, согласно оценкам экспертов, ситуация может измениться: после окончания отчетного периода были отмечены сообщения об успешных кибератаках, в ходе которых в руки злоумышленников попали значительные объемы данных.

Первое место по количеству инцидентов, связанных с утечками данных, занимает розничная торговля, на этот сектор пришлось 182 утечки. На втором месте сфера услуг (101 инцидент), а на третьем обосновался государственный сектор, включая местные и муниципальные органы власти (45 инцидентов). Далее с минимальным отрывом следует сегмент образования и науки (42 эпизода), а за ним — производственный сектор (38 утечек) и телекоммуникации (37 инцидентов).

 

В количественном выражении с большим отрывом первое место занял финансовый сектор.

 

Данные, полученные в результате утечек, злоумышленники активно используют для проведения фишинговых атак. Количество обнаруженных и заблокированных ресурсов в первые девять месяцев этого года увеличилось по сравнению с аналогичным периодом 2023 года более чем вдвое.

В 2024 году хакеры начали массово использовать фишинговые домены третьего и более глубоких уровней и, как правило, без упоминания брендов, что усложняет поиск таких ресурсов автоматизированными средствами мониторинга.

Если год назад доля таких доменов без связки с брендом составляла 16%, то в 2024 году до 40% фишинговых ресурсов не имеет смысловой связки с брендом. При этом в случае с маркетплейсами доля внебрендовых доменов в этом году достигла 70%.

«Нельзя назвать уменьшение количества строк и объема утекших данных трендом, ведь в любой момент может произойти кибератака, способная привести к утечке миллиардов строк данных. Например, в сентябре 2023 года злоумышленниками была выложена база всего одной компании, содержащая 4 млрд строк с преимущественно технической информацией. Сегодняшняя статистика скорее говорит о том, что утечки данных продолжают оставаться ключевой угрозой для российских организаций, а фишинг переживает свой расцвет. Именно поэтому мы рекомендуем компаниям заниматься обеспечением комплексной защиты от кибератак, которая включает как обучение сотрудников киберграмотности и постоянный поиск внешних цифровых угроз, так и мониторинг внутренней инфраструктуры и внедрение специализированных решений, защищающих от кибератак и предотвращающих утечки», — пояснил Александр Вураско, заместитель директора центра мониторинга внешних цифровых угроз Solar AURA, ГК «Солар».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru