Червь, основанный на Mirai атакует устройства, используя новый вектор

Червь, основанный на Mirai атакует устройства, используя новый вектор

Червь, основанный на Mirai атакует устройства, используя новый вектор

Недавно обнаруженная вредоносная программа на основе Mirai использует новый вектор для атаки на маршрутизаторы и модемы. Исследователи установили, что большое количество устройств по всему миру могут быть уязвимы для таких атак.

Множество устройств было заражено ботнетом Mirai и еще больше находятся под угрозой. Этот вредонос ответственен за некоторые из самых масштабных DDoS-атак в истории. Ситуацию осложняет то, что его исходный код просочился в сеть.

Исследователи BadCyber, с помощью пользователя из Польши, который заметил, что шлюз его Zyxel AMG1202-T10B перегружался каждые 15-20 минут, обнаружили новый вектор для атак. Оказывается, хакерам удалось удаленно выполнить вредоносные команды на устройстве, вводя их в поле имени протокола сетевого времени (NTP). Значение имени NTP обрабатывается как команда, что приводит к RCE уязвимости.

Вредоносный код был вставлен в поле имени NTP по протоколу TR-064, который позволяет провайдерам управлять устройствами в их сетях. Проблема заключается в том, что некоторые устройства настроены на прием команд TR-064 из интернета, что позволяет злоумышленникам использовать эту функцию для злонамеренных действий.

Ранее в этом месяце исследователи предупреждали о возможности взлома модемов D1000, путем использования команд TR-064. Злоумышленник может посылать команды и заставить модем открыть порт 80 на брандмауэре, что позволяет получить удаленный доступ к интерфейсу администрирования устройства. Стоит отметить, что модемы D1000 также производятся Zyxel.

Червь, обнаруженный экспертами BadCyber использует части исходного кода Mirai, на данный момент опубликован эксплоит, доказывающий правдоподобность данного вектора.

В Windows нашли способ получать Insider-сборки без аккаунта Microsoft

Пока Microsoft всё сильнее привязывает пользователей Windows к своей экосистеме, энтузиасты продолжают искать обходные пути. На этот раз обновление получил инструмент OfflineInsiderEnroll, который позволяет устанавливать предварительные сборки Windows без входа в учётную запись Microsoft.

Обычно для участия в программе Windows Insider требуется зарегистрироваться через аккаунт Microsoft и официально подключить устройство к одному из тестовых каналов. Но OfflineInsiderEnroll предлагает альтернативный сценарий.

Утилита представляет собой небольшой скрипт, который настраивает необходимые параметры локально через системный реестр. После этого компьютер получает доступ к тестовым версиям Windows через обычный механизм Windows Update, как будто устройство официально участвует в программе предварительного тестирования.

В основе схемы лежит параметр реестра TestFlags. Если установить для него значение 0x20, Windows перестаёт обращаться к онлайн-сервисам регистрации Insider Program.

Благодаря этому локальные настройки больше не перезаписываются серверами Microsoft, а выбранный канал тестирования сохраняется на устройстве.

 

Проще говоря, система начинает верить настройкам, которые ей подсовывает сам скрипт.

Ранее OfflineInsiderEnroll уже поддерживал классические каналы Dev, Beta и Release Preview. Теперь разработчики обновили утилиту до версии 2.6.6 и добавили поддержку новой структуры каналов Windows Insider, которую Microsoft недавно начала внедрять.

Помимо Beta и Release Preview пользователи получили доступ к новым экспериментальным каналам тестирования. Также в комплекте остались инструменты для очистки кеша Insider, сброса настроек и полного отключения участия в программе.

Впрочем, запускать скрипт придётся с правами администратора.

RSS: Новости на портале Anti-Malware.ru