IoT-ботнет обходит брандмауэры, чтобы добраться до модемов ZyXEL

IoT-ботнет обходит брандмауэры, чтобы добраться до модемов ZyXEL

Honeypot-приманки NewSky Security детектировали новый IoT-ботнет, получивший имя DoubleDoor. Отличительной особенностью данного вида является использование двух разных бэкдоров для атаки модемов ZyXEL PK5001Z.

Ботнет использует эксплойты для двух уязвимостей:

CVE-2015–7755, затрагивает программное обеспечение брандмауэра ScreenOS, что позволяет злоумышленникам получить доступ к «демонам» (daemons) telnet и SSH, используя произвольное имя пользователя в сочетании с определенным жестко запрограммированным паролем. DoubleDoor использует netscreen в качестве имени пользователя.

Эта брешь была обнаружена в декабре 2015 года и, как предполагается, использовалась спонсируемыми государством киберпреступниками.

CVE-2016–10401, бэкдор для устройств ZyXEL PK5001Z. После того, как злоумышленники пройдут защиту фаервола, она выполняют простую атаку на основе пароля, целью которой является получение базовой учетной записи с повышенными правами — admin:CenturyL1nk.

Затем атакующие используют CVE-2016–10401 для повышения прав до суперпользователя, конкретно этот эксплойт использовался в атаках ботнета Mirai.

Еще одна интересная особенность DoubleDoor заключается в использовании рандомизированных строк для вызова оболочки и проверки успешного заражения устройства IoT.

«Многие злоумышленники используют разные строки для этой цели. Например, имя ботнета (MIRAI, ASUNA, MASUTA, SATORI) или же собственный псевдоним, например, daddyl33t. DoubleDoor избегает этого подхода и использует случайную 8-символьную строку в каждой атаке, это делается для запутывания следов», — пишут эксперты NewSky Security.

Уточняется, что уязвимая настройка (брандмауэр NetScreen + Zyxel-модем) чаще встречается в корпоративной среде, чем в частных домах, поэтому есть предположение, что злоумышленники нацелились именно на корпорации.

«Получение контроля над маршрутизаторами корпоративной среды может быть более ценным для злоумышленника, поскольку это может дать толчок целенаправленным IoT-атакам», — отмечают исследователи.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Ростелеком открыл крупнейший центр мониторинга на базе Solar JSOC

«Ростелеком» и его дочерняя компания «Ростелеком-Солар», национальный провайдер сервисов и технологий информационной безопасности, открыли в Нижнем Новгороде крупнейший в России региональный центр мониторинга и реагирования на кибератаки.

В церемонии торжественного открытия приняли участие заместитель губернатора Нижегородской области Игорь Носов, вице-президент ПАО «Ростелеком» по информационной безопасности Игорь Ляпунов и вице-президент, директор макрорегионального филиала «Волга» ПАО «Ростелеком» Дмитрий Проскура.

«Сегодня мы задаём тренды федерального уровня. Вопросы информационной безопасности не раз поднимались в ходе прямой линии Президента. Это касается и импортозамещения в сфере разработки программных продуктов, и защиты от кибератак, и распространения ложных новостей. Отмечу, что, в Нижегородской области очень мощно развит IT-сектор. Около 700 компаний, в том числе ведущие мировые игроки, более 24000 специалистов, ежегодный рост их числа на 10-15%. Думаю, во многом именно это стало причиной того, что такой центр открылся именно в нашем регионе. Для области это новые рабочие места, уверен, что наши вузы смогут подготовить под них высококвалифицированных специалистов. Насколько мне известно, «Ростелеком-Солар» давно и плодотворно сотрудничает с ННГУ им. Лобачевского», – отметил заместитель губернатора Нижегородской области Игорь Носов.

Центр создан на базе Solar JSOC – лидирующего российского центра мониторинга и реагирования на кибератаки, который обеспечивает безопасность более 100 крупнейших российских компаний и организаций. Среди них федеральные ведомства, правительства субъектов Российской Федерации, финансовые институты, энергетические предприятия. В рамках информационного обмена об актуальных киберугрозах Solar JSOC активно взаимодействует с ГосСОПКА ФСБ России и ФинЦЕРТ ЦБ РФ.

Игорь Ляпунов, вице-президент ПАО «Ростелеком» по информационной безопасности, генеральный директор «Ростелеком-Солар»:

«Одним из главных препятствий на пути развития кибербезопасности в России является острая нехватка квалифицированных кадров и, как следствие, активная конкурентная борьба за них. Мы считаем, что правильнее заниматься формированием кадрового резерва; взращиванием, а не переманиванием профессионалов. Поэтому мы активно претворяем в жизнь стратегию по развитию региональных центров компетенций. Так, нижегородский Solar JSOC уже прошел длинный путь от небольшого регионального офиса до самостоятельного центра экспертизы по мониторингу и реагированию на компьютерные атаки. Сегодня это серьезная команда из высококлассных экспертов по информационной безопасности, способная обеспечить заказчикам полноценную защиту от киберугроз».

Нижегородский центр входит в состав Solar JSOC и является его крупнейшим региональным подразделением. Его штат насчитывает свыше 70 аналитиков и инженеров –высококвалифицированных специалистов по информационной безопасности. Это первый в России региональный центр мониторинга и реагирования на кибератаки такого масштаба. Подразделение Solar JSOC в Нижнем Новгороде будет отвечать за безопасность всех региональных клиентов, обеспечивая им полный комплекс сервисов от контроля защищенности и управления системами защиты заказчика до отражения и расследования кибератак.

Вице-президент, директор макрорегионального филиала «Волга» ПАО «Ростелеком» Дмитрий Проскура:

«Проблема взращивания квалифицированных кадров остро стоит во всех регионах, в том числе в Поволжье, поэтому совместная инициатива «Ростелеком» и «Ростелеком-Солар» по формированию экспертного ИБ-сообщества в Нижнем Новгороде крайне важна. Открытие нового центра мониторинга позволит более активно привлекать молодых специалистов, формируя кадровый потенциал, способствуя развитию отрасли информационной безопасности в регионе и увеличивая количество рабочих мест».

Стратегией развития регионального центра является плотное сотрудничество с профильными вузами региона, программа стажировок студентов с последующим трудоустройством и активным наращиванием экспертизы молодых специалистов. Ежегодно в программе стажировок Solar JSOC участвуют более 70 выпускников и студентов старших курсов, примерно 30 из них получают предложение о работе. Далее новые сотрудники проходят интенсивную программу обучения и развития профессиональных навыков. Благодаря ей через год они становятся сильными специалистами, через три – уникальными экспертами на рынке информационной безопасности.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru