Выявлен червь, поражающий уязвимость в маршрутизаторах Linksys

Выявлен червь, поражающий уязвимость в маршрутизаторах Linksys

Центр противодействия угрозам в Интернет опубликовал предупреждение о выявлении активности сетевого червя TheMoon, поражающего беспроводные маршрутизаторы Linksys (модели Wireless-N и серии E). Используя для проникновения неисправленную уязвимость червь получает управление на устройстве, загружает исполняемый файл ELF для архитектуры MIPS и запускает процесс сканирования сети на предмет выявления других уязвимых устройств и повторения атаки.

Сканирование ограничено 670 сетями (/21 и /24) DSL-провайдеров в разных странах. В случае выявления уязвимого устройства, запускается эксплоит и на осуществляющей сканирование системе кратковременно открывается случайный сетевой порт для отдачи копии бинарного файла с червём. После того как файл загружен, порт закрывается. В файле с червём также присутствует упоминание управляющего сервера, что позволяет предположить (анализ червя ещё не завершен) о наличии функций по приёму и обработке внешних команд с управляющего сервера, с возможностью формирования ботнета из маршрутизаторов. Червь не копирует себя в постоянную память и может быть удалён путем перезагрузки устройства, сообщает opennet.ru.

Потенциально, в зависимости от используемой прошивки, проблеме подвержены модели Linksys E4200, E3200, E3000, E2500, E2100L, E2000, E1550, E1500, E1200, E1000, E900, E300, WAG320N, WAP300N, WAP610N, WES610N, WET610N, WRT610N, WRT600N, WRT400N, WRT320N, WRT160N и WRT150N. Информация об уязвимости не афишируется до выпуска обновления прошивки, но в Сети уже можно найти несколько прототипов эксплоита. Червь проникает в систему через эксплуатацию уязвимости в cgi-скрипте tmUnblock.cgi, доступном без аутентификации.

Перед атакой червь проверяет модель устройства и версию прошивки через отправку HTTP-запроса "/HNAP1/" на порт 8080. Защититься от атаки можно отключив в настройках функцию RMA (Remote Management Access). По умолчанию RMA и протокол HNAP отключены, но многие провайдеры поставляют клиентам устройства с активированной поддержкой RMA (также имеются сведения, что в некоторых ситуациях сервис управления остаётся доступным даже после его отключения в web-интерфейсе). Обновление прошивки планируется выпустить в течение нескольких недель.

Предварительно поверить подверженность своего устройства атаке червя можно выполнив команду (устройство может быть атаковано, если в ответ возвращён вывод XML HNAP):

 echo “GET /HNAP1/ HTTP/1.1\r\nHost: test\r\n\r\n” | nc routerip 8080 

Дополнение: Изучая прошивку маршрутизатора Linksys, один из исследователей безопасности выявил ещё одну 0-day уязвимость, не связанную с методом атаки червя TheMoon, но также позволяющую получить контроль над устройством. 

Rubytech представила новую систему серверной виртуализации Скала^р МДИ.В

Группа Rubytech анонсировала новую Машину динамической инфраструктуры «Скала^р МДИ.В» — программно-аппаратный комплекс для серверной виртуализации, рассчитанный на корпоративные и государственные ИТ-системы. Новинка пришла на смену предыдущей модели «Скала^р МВ.С».

По сути, речь идёт о платформе для запуска и управления большим количеством виртуальных серверов на одном наборе оборудования.

Она рассчитана на сценарии, где важны высокая нагрузка, отказоустойчивость и возможность постепенно расширять инфраструктуру без остановки сервисов.

В основе решения — серверное оборудование на процессорах нового поколения и программная платформа Basis Dynamix Standard, которая отвечает за виртуализацию и устойчивость среды.

Комплекс поддерживает как классические системы хранения, так и гиперконвергентные программно-определяемые хранилища, так что заказчики могут выбирать подходящий вариант под свои задачи и масштаб.

Один из ключевых акцентов в новой версии сделан на производительности. По заявленным характеристикам, в HCI-режиме система может работать в 5–6 раз быстрее ряда аналогичных решений, а при тестировании на NVMe-накопителях показала до 2 млн операций ввода-вывода в секунду на один вычислительный узел.

Отдельно Rubytech делает ставку на отказоустойчивость. Если один из серверов выходит из строя, нагрузка должна автоматически переноситься на другие узлы. Также заявлена возможность быстро переключаться на резервные площадки в случае более серьёзных сбоев — например, если проблемы возникли на уровне дата-центра.

С точки зрения управления инфраструктурой платформа рассчитана на централизованный контроль через веб-интерфейс и связанные инструменты администрирования. Это должно упростить работу с серверами, хранилищами и виртуальными машинами в одной консоли.

Ещё один важный блок — информационная безопасность. В описании решения говорится о соответствии требованиям ФСТЭК России и возможности использования системы в государственных информационных системах, в ИСПДн с первым уровнем защищённости, а также на значимых объектах КИИ первой категории.

В компании также отмечают, что новая платформа уже использовалась как основа для других решений, в том числе для банковских систем и специализированной инфраструктуры для конструкторских бюро. То есть речь идёт не просто о лабораторной разработке, а о продукте, который Rubytech уже пытается встроить в более широкую линейку своих ИТ-решений.

RSS: Новости на портале Anti-Malware.ru