Устройства SonicWall атакует вредонос, переживающий обновление прошивки

Устройства SonicWall атакует вредонос, переживающий обновление прошивки

Устройства SonicWall атакует вредонос, переживающий обновление прошивки

Китайские киберпреступники запустили новую кампанию, в ходе которой атакуются непропатченные установки SonicWall Secure Mobile Access (SMA). Злоумышленники устанавливают кастомный вредонос, используемый для кибершпионажа.

Участвующая в атаках злонамеренная программа специально заточена под работу на устройствах SonicWall. Её задача — вытащить учётные данные жертвы, открыть шелл-доступ операторам и закрепиться настолько, чтобы обновления прошивки никак на неё не влияли.

На активность киберпреступников обратили внимание специалисты Mandiant и команды SonicWall PSIRT. Они отслеживают группировку под именем UNC4540.

Новый вредонос состоит из ELF-бинарника, бэкдора TinyShell и нескольких bash-скриптов. Такой состав намекает на хорошую подготовку атакующих: они абсолютно ясно понимают, как устроены целевые девайсы.

 

Главный модуль зловреда — firewalld — выполняет SQL-команды и пытается выкрасть из БД захешированные логины и пароли пользователей. Скомпрометированные данные помещаются в текстовый файл — tmp/syslog.db.

Далее firewalld запускает другие компоненты вредоноса (например, TinyShell), чтобы установить обратный шелл. На заключительном этапе основной модуль вредоноса добавляет небольшой патч легитимному бинарнику SonicWall — firebased, однако эксперты пока не смогли понять смысл этого шага.

Кроме того, операторы бэкдора реализовали новый процесс, в котором bash-скрипт («geoBotnetd») проверяет обновления прошивки в /cf/FIRMWARE/NEW/INITRD.GZ каждые десять секунд. Если апдейт обнаружен, вредонос внедряет себя в пакет обновления. Именно так ему удаётся выживать даже после установки новой версии прошивки.

В московском метро начали проверять телефоны

В Московском метрополитене подтвердили, что сотрудники службы транспортной безопасности вправе требовать от пассажиров продемонстрировать работоспособность мобильного телефона. Как сообщили в пресс-службе столичной подземки, такие меры предусмотрены приказом Министерства транспорта России от 4 февраля 2025 года № 34 и при необходимости могут применяться дополнительно к уже действующим процедурам досмотра.

Об этом сообщило Агентство городских новостей «Москва». Поводом для обращения журналистов в пресс-службу метро стали сообщения в ряде телеграм-каналов о выборочных проверках телефонов у пассажиров.

«В рамках обеспечения требований безопасности, установленных приказом Министерства транспорта Российской Федерации, на объектах транспортного комплекса Москвы все пассажиры столичного метро проходят досмотр с использованием рамок металлодетекторов», — пояснили в пресс-службе Московского метрополитена.

Ранее аналогичные требования были введены и в метро Санкт-Петербурга. Это подтвердил вице-губернатор города Кирилл Поляков во время прямой линии. По его словам, мера продиктована соображениями безопасности, и он призвал пассажиров отнестись к ней с пониманием. При этом, как подчеркнул Поляков, для проверки достаточно лишь показать, что устройство включается, — снимать блокировку при этом не требуется.

Ранее петербургские СМИ сообщали, что сотрудники транспортной безопасности отказывали в провозе оборудования без автономного питания. В частности, речь шла о мониторах и настольных компьютерах.

RSS: Новости на портале Anti-Malware.ru