Авторы ботнетов защищают свои базы данных связкой root и root

Авторы ботнетов защищают свои базы данных связкой root и root

Операторы ботнетов настолько же безответственно подходят к безопасности, как и их жертвы. К такому выводу пришли эксперты из NewSky Security, специализирующейся на кибербезопасности IoT-устройств компании.

Исследователь Анкит Анубхав рассказал, что недавно ему посчастливилось наткнуться на две базы данных, принадлежащие двум разным IoT-ботнетам. Эти базы были защищены с помощью самой простой связки имя-пароль — root/root.

Ирония заключается в том, что эти базы принадлежат ботнетам, которые заражают IoT-устройства с помощью вредоносной программы Owari. Напомним, что Owari как раз использует слабые учетные данные для проникновения на устройства.

Похоже, что киберпреступники, спеша заразить побольше IoT-устройств, забыли выбрать более сложное имя и пароль для доступа к базе данных своего сервера C&C.

Благодаря этой ошибке злоумышленников специалист получил доступ к информации о зараженных устройствах, операторах этих ботнетов и даже о некоторых клиентах, которые нанимали ботнеты для DDoS-атак.

Эти серверы C&C размещались на следующих IP-адресах: 80.211.232.43 и 80.211.45.89, однако Анубхав отмечает, что оба ботнета регулярно меняют адреса. На данный момент 80.211.232.43 и 80.211.45.89 не функционируют, это значит, что на каких-то новых адресах базируются ботнеты, использующие связку root/root для доступа к базам данных.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Сеть выложили эксплойт для червеобразной HTTP-уязвимости в Windows

В Сети появился код демонстрационного эксплойта (Proof-of-concept, PoC), использующего червеобразную критическую уязвимость в последних версиях операционных систем Windows 10 и Windows Server. Поскольку патчи вышли с майским набором обновлений, пользователям рекомендуется не игнорировать их установку.

Сама уязвимость отслеживается под идентификатором CVE-2021-31166 и скрывается в системном драйвере HTTP.sys, который используется набором служб Windows Internet Information Services (IIS) для обработки HTTP-запросов.

Как отметили эксперты, брешь затрагивает Windows 10 версии 2004 и Windows Server 2004. Если злоумышленник завладеет эксплойтом, ему удастся отправить специально созданные вредоносные пакеты целевым серверам.

Представители Microsoft подчеркнули, что «в большинстве случаев» атакующие могут удалённо выполнить произвольный код, для чего не потребуется даже проходить процесс аутентификации. Именно поэтому техногигант советует пропатчить все затронутые серверы.

Код PoC-эксплойта опубликовал исследователь в области кибербезопасности Аксель Суше. В этом случае Proof-of-concept задействует уязвимость вида use-after-free в HTTP.sys, которая в результате приводит к DoS и даже BSOD.

«Сам баг прячется в функции http!UlpParseContentCoding», — объясняет сам Суше.

В Твиттере специалист опубликовал GIF-анимацию, демонстрирующую эксплуатацию вышеописанной уязвимости.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru