Выявлен червь, поражающий уязвимость в маршрутизаторах Linksys

Центр противодействия угрозам в Интернет опубликовал предупреждение о выявлении активности сетевого червя TheMoon, поражающего беспроводные маршрутизаторы Linksys (модели Wireless-N и серии E). Используя для проникновения неисправленную уязвимость червь получает управление на устройстве, загружает исполняемый файл ELF для архитектуры MIPS и запускает процесс сканирования сети на предмет выявления других уязвимых устройств и повторения атаки.

Сканирование ограничено 670 сетями (/21 и /24) DSL-провайдеров в разных странах. В случае выявления уязвимого устройства, запускается эксплоит и на осуществляющей сканирование системе кратковременно открывается случайный сетевой порт для отдачи копии бинарного файла с червём. После того как файл загружен, порт закрывается. В файле с червём также присутствует упоминание управляющего сервера, что позволяет предположить (анализ червя ещё не завершен) о наличии функций по приёму и обработке внешних команд с управляющего сервера, с возможностью формирования ботнета из маршрутизаторов. Червь не копирует себя в постоянную память и может быть удалён путем перезагрузки устройства, сообщает opennet.ru.

Потенциально, в зависимости от используемой прошивки, проблеме подвержены модели Linksys E4200, E3200, E3000, E2500, E2100L, E2000, E1550, E1500, E1200, E1000, E900, E300, WAG320N, WAP300N, WAP610N, WES610N, WET610N, WRT610N, WRT600N, WRT400N, WRT320N, WRT160N и WRT150N. Информация об уязвимости не афишируется до выпуска обновления прошивки, но в Сети уже можно найти несколько прототипов эксплоита. Червь проникает в систему через эксплуатацию уязвимости в cgi-скрипте tmUnblock.cgi, доступном без аутентификации.

Перед атакой червь проверяет модель устройства и версию прошивки через отправку HTTP-запроса "/HNAP1/" на порт 8080. Защититься от атаки можно отключив в настройках функцию RMA (Remote Management Access). По умолчанию RMA и протокол HNAP отключены, но многие провайдеры поставляют клиентам устройства с активированной поддержкой RMA (также имеются сведения, что в некоторых ситуациях сервис управления остаётся доступным даже после его отключения в web-интерфейсе). Обновление прошивки планируется выпустить в течение нескольких недель.

Предварительно поверить подверженность своего устройства атаке червя можно выполнив команду (устройство может быть атаковано, если в ответ возвращён вывод XML HNAP):

 echo “GET /HNAP1/ HTTP/1.1\r\nHost: test\r\n\r\n” | nc routerip 8080 

Дополнение: Изучая прошивку маршрутизатора Linksys, один из исследователей безопасности выявил ещё одну 0-day уязвимость, не связанную с методом атаки червя TheMoon, но также позволяющую получить контроль над устройством. 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ФСБ России признало ViPNet CryptoSmart соответствующим требованиям к СКЗИ

Криптопровайдер для блокчейн-платформ ViPNet CryptoSmart получил положительное заключение ФСБ России о соответствии ViPNet CryptoSmart требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну, классов КС1 (исполнение 1) и КС2 (исполнение 2), и требованиям к средствам электронной подписи (ЭП), утвержденным приказом ФСБ России от 27.12.2011 года №796, установленным для классов КС1 (исполнение 1) и КС2 (исполнение 2).

Срок действия заключения – до 20 мая 2029 года.

ViPNet CryptoSmart – криптопровайдер, предназначенный для защиты распределенных реестров и смарт-контрактов при помощи криптографических алгоритмов ГОСТ и используемый для встраивания в  блокчейн-платформы на базе Hyperledger Fabric.

ViPNet CryptoSmart обеспечивает юридическую значимость транзакций и смарт-контрактов с использованием квалифицированной электронной подписи и инфраструктуры открытых ключей.

Продукт использует действующую PKI-инфраструктуру, заказчику не нужно расходовать средства на поддержку параллельной инфраструктуры удостоверяющих центров.

Интегрированный в блокчейн-платформу ViPNet CryptoSmart необходим при обработке информации, подлежащей защите в соответствии с законодательством РФ: персональных данных, медицинской информации, коммерческой тайны, финансовой и кредитной информации, нотариальных данных, аудиторских, страховых и прочих данных.

Криптопровайдер уже применяют в линейке продуктов компании АО «Промышленные Криптосистемы» (ГК «ИнфоТеКС») для управления производственно-логистическими цепочками и взаиморасчётами, в том числе с применением цифровых финансовых активов (ЦФА).

Один из таких инструментов – платформа для цифровых сделок Контрактиум, которая обеспечивает конфиденциальное и юридически значимое взаимодействие между контрагентами. Также компания разработала систему управления распределенными реестрами и смарт-контрактами Хауберк для операторов промышленных и финансовых сетей, которая упрощает их развёртывание и эксплуатацию.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru