Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Специалисты компании обнаружили вредоносное программное обеспечение для платформ Linux/UNIX, которое способно предпринимать атаки против административных интерфейсов некоторого сетевого оборудования - в частности, роутеров D-Link.



Угроза получила наименование ELF_TSUNAMI.R. Сообщается, что сущностно данная инфекция представляет собой IRC-бэкдор. Логически это файл формата ELF, который может быть доставлен на компьютер пользователя вредоносной начинкой веб-сайта или другим вирусом (к примеру, троянским контейнером). После установки в систему программа пытается соединиться с удаленными серверами и подключиться к некоторым IRC-каналам для получения инструкций.


Бэкдор способен обработать порядка двух десятков различных команд, среди которых, например, "приказы" на генерацию мусорного трафика. В частности, у него есть функция "TSUNAMI", инициирующая DDoS-нападение на определенную цель с заданным интервалом отправки пакетов. Кроме того, возможности вредоносной программы позволяют удаленному оператору атаковать маршрутизаторы: в арсенале бэкдора имеется механизм подбора учетных данных к административным интерфейсам этих устройств методом грубой силы.


Любопытно, что вирус не пользуется каким-либо заданным списком сочетаний "логин-пароль" - во всяком случае, аналитики Trend Micro такого списка не нашли. Судя по описанию, он умеет лишь проверять наличие стандартных (т.е. заводских) аутентификационных сведений или получать комбинации для проверки от оператора посредством специальной команды.


Еще одной особенностью бэкдора является его способность эксплуатировать уязвимость в программном обеспечении маршрутизаторов D-Link. Изъян, о котором идет речь, позволяет в случае его успешной эксплуатации сбросить параметры конфигурации устройства к установленным по умолчанию значениям. Этот механизм, очевидно, работает в связке с подсистемой подбора пароля: ведь аннулирование настроек устанавливает и стандартные учетные сведения для входа в панель администрирования маршрутизатора.


В настоящее время антивирусные эксперты компании выясняют, может ли бэкдор атаковать не только оборудование D-Link, но и сетевые устройства других производителей. Наибольшая активность вредоносной программы отмечена в Латинской Америке, но ее распространение возможно и в других регионах.


Trend Micro


Обновление


Последующее изучение угрозы, проведенное аналитиками компании, позволило установить, что ELF_TSUNAMI.R работоспособен исключительно на устройствах со специфическими микропроцессорами - MIPS (таковые обыкновенно используются в маршрутизаторах и некоторых иных классах устройств). Это означает, что файл вируса не может быть запущен на обычном пользовательском компьютере; специалисты Trend Micro пока не могут сказать, каким именно образом в таком случае предполагалось доставлять инфекцию в сетевое оборудование. Не исключено, что попавший в лабораторию ELF-файл является лишь элементом более крупного вредоносного программного пакета.


Кроме того, вирус оказался способен эксплуатировать другую уязвимость роутеров D-Link, допускающую обход механизмов аутентификации и получение полного административного контроля над устройством. Также стало известно, что в арсенале ELF_TSUNAMI.R имеются возможности, позволяющие ему в случае успешного обретения прав на управление маршрутизатором отключать его брандмауэр посредством команды /etc/firewall_stop.


 


================================


Слушаю Вас!
viktor.anikeenko@anti-malware.ru 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новая атака Opossum позволяет внедрять данные в TLS-сессии

Исследователи обнаружили новый вектор атаки под названием Opossum. Он позволяет злоумышленнику вмешиваться в якобы защищённую сессию TLS — при этом шифрование никто не взламывает.

Атака работает за счёт несогласованности между двумя режимами TLS: «implicit» (например, HTTPS на порту 443, где защита включается сразу) и «opportunistic» (например, HTTP на порту 80, где защита активируется позже через апгрейд-запрос).

Используя это отличие, атакующий может вызвать рассинхронизацию между клиентом и сервером, после чего — незаметно встроить в канал поддельные данные.

Сценарий простой: клиент подключается к HTTPS, но злоумышленник перенаправляет его запрос на порт HTTP, сам инициирует апгрейд до TLS, а затем тайно синхронизирует обе сессии.

В итоге и клиент, и сервер думают, что всё идёт по плану — хотя злоумышленник в любой момент может подменить сообщения или задержать ответы.

Opossum базируется на принципах вектора атаки ALPACA, но работает даже там, где меры против ALPACA уже внедрены. Это делает «опоссума» особенно опасным, поскольку он бьёт не по самому TLS, а по логике взаимодействия приложений.

 

Эксперты говорят: отключить opportunistic TLS — не вариант, особенно на почтовых серверах и старых системах. Лучше изолировать порты и режимы TLS, а также включить проверку соответствия между протоколом и портом. Можно дополнительно отслеживать подозрительные апгрейд-заголовки.

Главный вывод — зрелые протоколы вроде TLS всё ещё могут быть уязвимыми из-за архитектурных нюансов. И чтобы не стать жертвой атак вроде Opossum, стоит внимательно относиться ко всем уровням стека безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru