VPNFilter теперь может заражать устройства от ASUS, D-Link, Huawei, ZTE

VPNFilter теперь может заражать устройства от ASUS, D-Link, Huawei, ZTE

VPNFilter теперь может заражать устройства от ASUS, D-Link, Huawei, ZTE

Вредоносная программа VPNFilter не так давно всколыхнула ИБ-сообщество, заразив 500 000 маршрутизаторов и NAS-устройств в 54 странах. Оказалось, что этого вредоноса недооценили — согласно опубликованному Cisco Talos отчету, VPNFilter может также заражать маршрутизаторы от ASUS, D-Link, Huawei, Ubiquiti, UPVEL и ZTE.

Напомним, первоначально считалось, что данный зловред предназначен для атак роутеров Linksys, MikroTik, Netgear, TP-Link и QNAP.

Таким образом, количество заражаемых VPNFilter моделей маршрутизаторов выросло с 16 до 71 (16 моделей упоминались в первом отчете Cisco).

Более того, исследователи также сообщили об обнаружении новых возможностей этой вредоносной программы, за которые отвечают специальные плагины.

Специалисты отметили два новых плагина:

  • ssler — перехватывает и модифицирует трафик на 80 порту, реализуя атаку «Человек посередине». Также этот плагин поддерживает даунгрейд с HTTPS на HTTP.
  • dstr — плагин, перезаписывающий файлы прошивки устройства.

Это только дополнительные плагины к тем, которые уже были известны компании:

  • ps — плагин, сканирующий сетевые пакеты, способен обнаруживать определенные типы сетевого трафика.
  • tor — плагин, используемый ботами VPNFilter для связи с командным сервером (C&C) через сеть Tor.

Технический разбор плагинов ssler, dstr и ps доступен в опубликованном Cisco отчете.

Приводим список устройств, атакуемых VPNFilter:

Asus:

  • RT-AC66U (new)
  • RT-N10 (new)
  • RT-N10E (new)
  • RT-N10U (new)
  • RT-N56U (new)
  • RT-N66U (new)

D-Link:

  • DES-1210-08P (new)
  • DIR-300 (new)
  • DIR-300A (new)
  • DSR-250N (new)
  • DSR-500N (new)
  • DSR-1000 (new)
  • DSR-1000N (new)

Huawei:

  • HG8245 (new)

Linksys:

  • E1200
  • E2500
  • E3000 (new)
  • E3200 (new)
  • E4200 (new)
  • RV082 (new)
  • WRVS4400N

Mikrotik: (устранено в RouterOS версии 6.38.5)

  • CCR1009 (new)
  • CCR1016
  • CCR1036
  • CCR1072
  • CRS109 (new)
  • CRS112 (new)
  • CRS125 (new)
  • RB411 (new)
  • RB450 (new)
  • RB750 (new)
  • RB911 (new)
  • RB921 (new)
  • RB941 (new)
  • RB951 (new)
  • RB952 (new)
  • RB960 (new)
  • RB962 (new)
  • RB1100 (new)
  • RB1200 (new)
  • RB2011 (new)
  • RB3011 (new)
  • RB Groove (new)
  • RB Omnitik (new)
  • STX5 (new)

Netgear:

  • DG834 (new)
  • DGN1000 (new)
  • DGN2200
  • DGN3500 (new)
  • FVS318N (new)
  • MBRN3000 (new)
  • R6400
  • R7000
  • R8000
  • WNR1000
  • WNR2000
  • WNR2200 (new)
  • WNR4000 (new)
  • WNDR3700 (new)
  • WNDR4000 (new)
  • WNDR4300 (new)
  • WNDR4300-TN (new)
  • UTM50 (new)

QNAP:

  • TS251
  • TS439 Pro
  • Другие NAS-устройства QNAP с QTS

TP-Link:

  • R600VPN
  • TL-WR741ND (new)
  • TL-WR841N (new)

Ubiquiti:

  • NSM2 (new)
  • PBE M5 (new)

UPVEL:

  • Список моделей неизвестен (new)

ZTE:

  • ZXHN H108N (new)

Напомним, ФБР рассказало пользователям, что нужно предпринять в случае заражения маршрутизаторов вредносом VPNFilter. Оказывается, нужно всего лишь перезагрузить затронутые роутеры. VPNFilter связывают с группировкой Fancy Bear, которая, как многие предполагают, спонсируется Кремлем.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники борются за маржинальность

Согласно анализу, проведённому BI.ZONE AntiFraud, за первое полугодие 2025 года количество эпизодов мошенничества снизилось на 18% в годовом выражении, однако общий ущерб вырос на 60%.

По мнению специалистов BI.ZONE AntiFraud, это связано с тем, что злоумышленники стали чаще использовать более прибыльные схемы.

Наиболее распространёнными остаются кража доступов к электронным средствам платежа, переводы средств на «безопасные счета» под видом «спасения» сбережений, а также лжеподработка на маркетплейсах.

На кражу доступов к платёжным инструментам пришлось 17% случаев. Чаще всего мошенники использовали методы социальной инженерии: представлялись сотрудниками банков, создавали поддельные сайты, рассылали СМС-коды для получения доступа к картам и личным кабинетам. Также использовались утерянные карты для бесконтактных платежей.

На втором месте (15%) — схема с «безопасным счётом». Такие атаки обычно совершаются по телефону: злоумышленники, представляясь сотрудниками Банка России или правоохранительных органов, сообщают жертве о «взломе» её счета и просят срочно перевести деньги на «безопасный» счёт. В некоторых случаях требуют передать наличные курьеру или оставить их в почтовом ящике. Часто жертвы не только теряют все сбережения, но и берут кредиты по указанию мошенников.

Третье место (12%) занимает схема лжеподработки на маркетплейсах. Потенциальной жертве предлагают оставлять отзывы за вознаграждение, а затем втягивают в «сделки» с обещанием высоких процентов. В итоге человек совершает покупки на крупные суммы и остаётся ни с чем.

Эксперты BI.ZONE AntiFraud также зафиксировали схемы с самой высокой динамикой роста по сравнению с аналогичным периодом прошлого года:

  • Дропы. Количество попыток вовлечь людей в схемы по выводу средств выросло в 7 раз;
  • Аферы с букмекерскими ставками. Число взломов аккаунтов на букмекерских платформах с целью хищения средств увеличилось в 4 раза;
  • Фальшивые выигрыши. Количество подобных эпизодов выросло в 4 раза. Мошенники требуют оплатить «доставку приза» или «налог на выигрыш».

Алексей Лужнов, руководитель BI.ZONE AntiFraud:

«Банки и платёжные сервисы внедряют антифрод-системы на базе искусственного интеллекта. Они позволяют выявлять и блокировать подозрительные операции ещё до того, как компания понесёт убытки. Но важно понимать, что мошенники эксплуатируют не только технические уязвимости, но и человеческий фактор. Поэтому защита от кибермошенничества — это совместная ответственность банков и пользователей».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru