Червь, основанный на Mirai атакует устройства, используя новый вектор

Недавно обнаруженная вредоносная программа на основе Mirai использует новый вектор для атаки на маршрутизаторы и модемы. Исследователи установили, что большое количество устройств по всему миру могут быть уязвимы для таких атак.

Множество устройств было заражено ботнетом Mirai и еще больше находятся под угрозой. Этот вредонос ответственен за некоторые из самых масштабных DDoS-атак в истории. Ситуацию осложняет то, что его исходный код просочился в сеть.

Исследователи BadCyber, с помощью пользователя из Польши, который заметил, что шлюз его Zyxel AMG1202-T10B перегружался каждые 15-20 минут, обнаружили новый вектор для атак. Оказывается, хакерам удалось удаленно выполнить вредоносные команды на устройстве, вводя их в поле имени протокола сетевого времени (NTP). Значение имени NTP обрабатывается как команда, что приводит к RCE уязвимости.

Вредоносный код был вставлен в поле имени NTP по протоколу TR-064, который позволяет провайдерам управлять устройствами в их сетях. Проблема заключается в том, что некоторые устройства настроены на прием команд TR-064 из интернета, что позволяет злоумышленникам использовать эту функцию для злонамеренных действий.

Ранее в этом месяце исследователи предупреждали о возможности взлома модемов D1000, путем использования команд TR-064. Злоумышленник может посылать команды и заставить модем открыть порт 80 на брандмауэре, что позволяет получить удаленный доступ к интерфейсу администрирования устройства. Стоит отметить, что модемы D1000 также производятся Zyxel.

Червь, обнаруженный экспертами BadCyber использует части исходного кода Mirai, на данный момент опубликован эксплоит, доказывающий правдоподобность данного вектора.