Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Специалисты компании обнаружили вредоносное программное обеспечение для платформ Linux/UNIX, которое способно предпринимать атаки против административных интерфейсов некоторого сетевого оборудования - в частности, роутеров D-Link.



Угроза получила наименование ELF_TSUNAMI.R. Сообщается, что сущностно данная инфекция представляет собой IRC-бэкдор. Логически это файл формата ELF, который может быть доставлен на компьютер пользователя вредоносной начинкой веб-сайта или другим вирусом (к примеру, троянским контейнером). После установки в систему программа пытается соединиться с удаленными серверами и подключиться к некоторым IRC-каналам для получения инструкций.


Бэкдор способен обработать порядка двух десятков различных команд, среди которых, например, "приказы" на генерацию мусорного трафика. В частности, у него есть функция "TSUNAMI", инициирующая DDoS-нападение на определенную цель с заданным интервалом отправки пакетов. Кроме того, возможности вредоносной программы позволяют удаленному оператору атаковать маршрутизаторы: в арсенале бэкдора имеется механизм подбора учетных данных к административным интерфейсам этих устройств методом грубой силы.


Любопытно, что вирус не пользуется каким-либо заданным списком сочетаний "логин-пароль" - во всяком случае, аналитики Trend Micro такого списка не нашли. Судя по описанию, он умеет лишь проверять наличие стандартных (т.е. заводских) аутентификационных сведений или получать комбинации для проверки от оператора посредством специальной команды.


Еще одной особенностью бэкдора является его способность эксплуатировать уязвимость в программном обеспечении маршрутизаторов D-Link. Изъян, о котором идет речь, позволяет в случае его успешной эксплуатации сбросить параметры конфигурации устройства к установленным по умолчанию значениям. Этот механизм, очевидно, работает в связке с подсистемой подбора пароля: ведь аннулирование настроек устанавливает и стандартные учетные сведения для входа в панель администрирования маршрутизатора.


В настоящее время антивирусные эксперты компании выясняют, может ли бэкдор атаковать не только оборудование D-Link, но и сетевые устройства других производителей. Наибольшая активность вредоносной программы отмечена в Латинской Америке, но ее распространение возможно и в других регионах.


Trend Micro


Обновление


Последующее изучение угрозы, проведенное аналитиками компании, позволило установить, что ELF_TSUNAMI.R работоспособен исключительно на устройствах со специфическими микропроцессорами - MIPS (таковые обыкновенно используются в маршрутизаторах и некоторых иных классах устройств). Это означает, что файл вируса не может быть запущен на обычном пользовательском компьютере; специалисты Trend Micro пока не могут сказать, каким именно образом в таком случае предполагалось доставлять инфекцию в сетевое оборудование. Не исключено, что попавший в лабораторию ELF-файл является лишь элементом более крупного вредоносного программного пакета.


Кроме того, вирус оказался способен эксплуатировать другую уязвимость роутеров D-Link, допускающую обход механизмов аутентификации и получение полного административного контроля над устройством. Также стало известно, что в арсенале ELF_TSUNAMI.R имеются возможности, позволяющие ему в случае успешного обретения прав на управление маршрутизатором отключать его брандмауэр посредством команды /etc/firewall_stop.


 


================================


Слушаю Вас!
viktor.anikeenko@anti-malware.ru 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Опубликованные ключи ASP.NET используются для развертывания вредоносов

В конце прошлого года специалисты Microsoft зафиксировали серию атак инъекцией кода, проведенных с использованием статических ключей ASP. NET. В одном из случаев злоумышленникам удалось внедрить в IIS-сервер инструмент постэксплуатации Godzilla.

Примечательно, что validationKey и decryptionKey, предназначенные для защиты данных ViewState от подмены и утечки, не были украдены или куплены в даркнете. Их можно найти онлайн, исследователи обнаружили более 3 тыс. таких сливов.

Обычно ключи ASP. NET генерируются по месту и сохраняются в реестре либо задаются вручную в конфигурационных файлах. К сожалению, некоторые разработчики веб-приложений используют готовые, отыскав их в паблике (документация на код, репозитории), притом без изменений.

Злоумышленникам такие находки тоже облегчают жизнь. При наличии верительных грамот для ViewState отправленный на сайт вредоносный POST-запрос будет с успехом обработан, пейлоад загрузится в память рабочего процесса и запустится на исполнение.

Подобная тактика позволяет автору атаки удаленно выполнить вредоносный код на сервере IIS и развернуть дополнительную полезную нагрузку — к примеру, фреймворк Godzilla с плагинами.

 

«Человеческий фактор нередко приводит к печальным результатам, разработчикам следует понимать, что статические ключи должны быть уникальными и защищёнными, — комментирует эксперт компании «Газинформсервис» Михаил Спицын. — Размещение таких данных в открытых репозиториях или документах эквивалентно предоставлению злоумышленникам несанкционированного доступа к системе».

Похожие атаки были проведены лет пять назад на серверы Microsoft Exchange. Злоумышленники пытались использовать ошибку разработчика, которую тот устранил двумя неделями ранее: все экземпляры Exchange Server использовали одни и те же значения validationKey и decryptionKey, прописанные в web.config.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru