Qrator Labs провела исследование дыры в протоколе Cisco Smart Install

Qrator Labs провела исследование дыры в протоколе Cisco Smart Install

Qrator Labs, специализирующаяся на противодействии DDoS-атакам и обеспечении доступности интернет-ресурсов, представляет результаты исследования уязвимости в сетевых коммутаторах Cisco, проведенного с помощью сервиса глобального мониторинга сети интернет Qrator.Radar.

6 апреля 2018 года была запущена хакерская атака, направленная на сетевые коммутаторы компании Cisco. В прошивках устройств Cisco с поддержкой Smart Install была найдена уязвимость (cisco-sa-20180328-smi), позволившая злоумышленникам создать бота, который удалял текущую конфигурацию коммутатора, а вместо нее загружал послание в виде американского флага. Муссировали слухи, что эта уязвимость смогла вывести из строя значительное количество интернет-провайдеров и даже интернет-сегментов.

Специалисты Qrator.Radar проанализировали показатели трафика Qrator, основных точек обмена трафиком, а также изменения числа BGP-сессии у коллектора Radar и пришли к выводу, что существенного влияния на интернет-сегменты уязвимость не оказала. С помощью CIDR Report (Classless Inter-Domain Routing – метод бесклассовой адресации в сетях на основе IP-протокола) были получены данные, свидетельствующие о том, что ботнет вызвал синхронный сбой в работе около ста интернет-провайдеров, большинство из которых принадлежит Ирану.

«Нам повезло в том, что уязвимые коммутаторы Cisco не используются широко в качестве граничных маршрутизаторов и что бот всего лишь удалял конфигурацию, а не осуществлял перехват трафика половины мира. Однако данный инцидент снова подчеркнул проблему того, что на оборудовании, используемом для маршрутизации трафика, остается значительное число открытых портов, к которым легко могут получить доступ злоумышленники. Конечно, важно пропатчить эту конкретную уязвимость, но выпущенный патч не создает фильтры ACL для закрытия порта 4786. Ни оборудование Cisco, ни любого другого вендора не способны противостоять SYN flood атакам на открытый TCP порт, превышающим 1 Гб трафика. Они просто для этого не предназначены. Таким образом, завтра эти же маршрутизаторы и коммутаторы могут быть снова выведены из строя»,– отмечает Александр Азимов, руководитель проекта Qrator.Radar.

Согласно исследованию Qrator.Radar, в мире используется более 100 000 устройств с открытым портом 4786. Они принадлежат почти 5000 различным автономным системам. С помощью сервиса Qrator.Radar было установлено, какое количество уязвимых устройств насчитывается в каждой стране мира. Ниже представлен Топ-10 стран с уязвимыми устройствами:

  • США (23642 уязвимых IP-адресов);
  • Китай (17341 уязвимые IP- адресов);
  • Япония (5708 уязвимых IP- адресов);
  • Канада (5226 уязвимых IP-адресов);
  • Финляндия (4808 уязвимых IP-адресов);
  • Франция (4445 уязвимых IP-адресов);
  • Дания (4033 уязвимых IP-адресов);
  • Великобритания (3180 уязвимых IP-адресов);
  • Тайвань (2446 уязвимых IP-адресов);
  • Швеция (2299 уязвимых IP-адресов).

Qrator Labs рекомендует операторам связи убедиться в том, что их сетевые устройства не являются уязвимыми к возможным атакам. Со своей стороны Qrator.Radar добавил соответствующие поле в разделе “vulnerable ports”, чтобы эту проверку упростить.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Программа-вымогатель Cuba заручилась поддержкой нового RAT-вредоноса

Операторы программы-вымогателя Cuba используют ранее не встречавшиеся экспертам техники, включая новую вредоносную программу, открывающую удалённый доступ к устройству жертвы (RAT). Троян получил имя “Tropical Scorpius“.

На интересную киберугрозу обратили внимание специалисты из подразделения Unit 42, принадлежащего Palo Alto Networks. Именно они и связали троян с операциями киберпреступников, стоящих за распространением Cuba.

Известно, что в первом квартале 2022 года программа-вымогатель Cuba получила небольшие, но весомые нововведения: обновлённый компонент шифровальщика, оснащённый дополнительными опциями, и quTox для связи с жертвами в режиме реального времени.

Тем не менее Tropical Scorpius ещё усилил операции киберпреступников, сделав их опаснее, а также продемонстрировал новую тактику злоумышленников.

Tropical Scorpius использует стандартный пейлоад Cuba, который остаётся преимущественно неизменным с 2019 года. Однако новизна заключается в том, что с июня 2022 года используется легитимный сертификат NVIDIA, украденный LAPSUS (стоит отметить, что сертификат не проходит валидацию).

С помощью упомянутого сертификата операторы Cuba подписывают драйвер уровня ядра, который выступает дроппером на начальном этапе заражения.

 

Задача драйвера — вычислить процессы антивирусных продуктов и завершить их, чтобы атакующие как можно дольше оставались в системе. Вот список процессов, на которые охотится дроппер:

 

Следующим шагом Tropical Scorpius задействует инструмент для локального повышения прав, который эксплуатирует уязвимость CVE-2022-24521 (была пропатчена в апреле). По словам специалистов Unit 42, киберпреступники использовали стратегию, похожую на то, что описывал Сергей Корниенко.

Далее Tropical Scorpius загружает инструменты ADFind и Net Scan для латерального передвижения по сети жертвы. На этом этапе в дело также вступает новая тулза, собирающая учётные данные Kerberos. Кроме того, злоумышленники начали использовать ZeroLogon для эксплуатации CVE-2020-1472.

В заключительной фазе Tropical Scorpius запускает троян “ROMCOM RAT“, ранее не встречавшийся экспертам. Он обеспечивает взаимодействие с командным сервером с помощью ICMP-запросов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru