Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Trend Micro предупреждает о Linux-вирусе, атакующем маршрутизаторы

Специалисты компании обнаружили вредоносное программное обеспечение для платформ Linux/UNIX, которое способно предпринимать атаки против административных интерфейсов некоторого сетевого оборудования - в частности, роутеров D-Link.



Угроза получила наименование ELF_TSUNAMI.R. Сообщается, что сущностно данная инфекция представляет собой IRC-бэкдор. Логически это файл формата ELF, который может быть доставлен на компьютер пользователя вредоносной начинкой веб-сайта или другим вирусом (к примеру, троянским контейнером). После установки в систему программа пытается соединиться с удаленными серверами и подключиться к некоторым IRC-каналам для получения инструкций.


Бэкдор способен обработать порядка двух десятков различных команд, среди которых, например, "приказы" на генерацию мусорного трафика. В частности, у него есть функция "TSUNAMI", инициирующая DDoS-нападение на определенную цель с заданным интервалом отправки пакетов. Кроме того, возможности вредоносной программы позволяют удаленному оператору атаковать маршрутизаторы: в арсенале бэкдора имеется механизм подбора учетных данных к административным интерфейсам этих устройств методом грубой силы.


Любопытно, что вирус не пользуется каким-либо заданным списком сочетаний "логин-пароль" - во всяком случае, аналитики Trend Micro такого списка не нашли. Судя по описанию, он умеет лишь проверять наличие стандартных (т.е. заводских) аутентификационных сведений или получать комбинации для проверки от оператора посредством специальной команды.


Еще одной особенностью бэкдора является его способность эксплуатировать уязвимость в программном обеспечении маршрутизаторов D-Link. Изъян, о котором идет речь, позволяет в случае его успешной эксплуатации сбросить параметры конфигурации устройства к установленным по умолчанию значениям. Этот механизм, очевидно, работает в связке с подсистемой подбора пароля: ведь аннулирование настроек устанавливает и стандартные учетные сведения для входа в панель администрирования маршрутизатора.


В настоящее время антивирусные эксперты компании выясняют, может ли бэкдор атаковать не только оборудование D-Link, но и сетевые устройства других производителей. Наибольшая активность вредоносной программы отмечена в Латинской Америке, но ее распространение возможно и в других регионах.


Trend Micro


Обновление


Последующее изучение угрозы, проведенное аналитиками компании, позволило установить, что ELF_TSUNAMI.R работоспособен исключительно на устройствах со специфическими микропроцессорами - MIPS (таковые обыкновенно используются в маршрутизаторах и некоторых иных классах устройств). Это означает, что файл вируса не может быть запущен на обычном пользовательском компьютере; специалисты Trend Micro пока не могут сказать, каким именно образом в таком случае предполагалось доставлять инфекцию в сетевое оборудование. Не исключено, что попавший в лабораторию ELF-файл является лишь элементом более крупного вредоносного программного пакета.


Кроме того, вирус оказался способен эксплуатировать другую уязвимость роутеров D-Link, допускающую обход механизмов аутентификации и получение полного административного контроля над устройством. Также стало известно, что в арсенале ELF_TSUNAMI.R имеются возможности, позволяющие ему в случае успешного обретения прав на управление маршрутизатором отключать его брандмауэр посредством команды /etc/firewall_stop.


 


================================


Слушаю Вас!
viktor.anikeenko@anti-malware.ru 

Иностранные симки больше не помогают обходить блокировки в России

Иностранные сим-карты перестали быть удобным билетом к интернет-ресурсам, доступ к которым в России ограничен. Раньше схема выглядела заманчиво для тех, кто готов был платить: человек находится в России, пользуется иностранной симкой, а трафик уходит через инфраструктуру зарубежного оператора.

По данным «Известий», пользователи таких карт больше не могут беспрепятственно заходить на заблокированные в РФ сервисы через роуминговый интернет.

Российские сети в таком сценарии фактически работали как транзит. Но теперь, как пояснили в Минцифры, к роуминговому интернет-трафику иностранных абонентов применяется общий режим фильтрации, действующий в РФ. То есть страна выпуска сим-карты больше не играет роль волшебного пропуска.

При этом речь не о полном отключении интернета. Доступ к обычным ресурсам сохраняется. Также, по словам пользователей, всё ещё работают некоторые сервисы, которые сами ограничили деятельность в России, например Netflix и ряд зарубежных нейросетей. А вот ресурсы, заблокированные за нарушение российского законодательства, через иностранную симку уже не открываются.

По оценкам Mobile Research Group, на руках у россиян может быть около 2 млн иностранных сим-карт, но для постоянного выхода в интернет используются примерно 500 тыс. из них. Популярность таких карт выросла после 2022 года: их покупали для регистрации в ушедших сервисах, работы с зарубежными банками и доступа к отдельным платформам.

Эксперты отмечают, что способ изначально был нишевым и дорогим. Такие сим-карты продолжают продавать на онлайн-площадках: цены стартуют примерно от 600 рублей и доходят до 5,5 тыс. рублей, а стоимость трафика может неприятно удивить. Например, 1 ГБ интернета по некоторым тарифам обходится в 800–1200 рублей.

Технически фильтрация может зависеть от схемы роуминга и маршрута трафика, однако иностранная симка теперь просто дорогой кусок пластика с ограниченным набором преимуществ.

RSS: Новости на портале Anti-Malware.ru