VPNFilter теперь может заражать устройства от ASUS, D-Link, Huawei, ZTE

VPNFilter теперь может заражать устройства от ASUS, D-Link, Huawei, ZTE

Вредоносная программа VPNFilter не так давно всколыхнула ИБ-сообщество, заразив 500 000 маршрутизаторов и NAS-устройств в 54 странах. Оказалось, что этого вредоноса недооценили — согласно опубликованному Cisco Talos отчету, VPNFilter может также заражать маршрутизаторы от ASUS, D-Link, Huawei, Ubiquiti, UPVEL и ZTE.

Напомним, первоначально считалось, что данный зловред предназначен для атак роутеров Linksys, MikroTik, Netgear, TP-Link и QNAP.

Таким образом, количество заражаемых VPNFilter моделей маршрутизаторов выросло с 16 до 71 (16 моделей упоминались в первом отчете Cisco).

Более того, исследователи также сообщили об обнаружении новых возможностей этой вредоносной программы, за которые отвечают специальные плагины.

Специалисты отметили два новых плагина:

  • ssler — перехватывает и модифицирует трафик на 80 порту, реализуя атаку «Человек посередине». Также этот плагин поддерживает даунгрейд с HTTPS на HTTP.
  • dstr — плагин, перезаписывающий файлы прошивки устройства.

Это только дополнительные плагины к тем, которые уже были известны компании:

  • ps — плагин, сканирующий сетевые пакеты, способен обнаруживать определенные типы сетевого трафика.
  • tor — плагин, используемый ботами VPNFilter для связи с командным сервером (C&C) через сеть Tor.

Технический разбор плагинов ssler, dstr и ps доступен в опубликованном Cisco отчете.

Приводим список устройств, атакуемых VPNFilter:

Asus:

  • RT-AC66U (new)
  • RT-N10 (new)
  • RT-N10E (new)
  • RT-N10U (new)
  • RT-N56U (new)
  • RT-N66U (new)

D-Link:

  • DES-1210-08P (new)
  • DIR-300 (new)
  • DIR-300A (new)
  • DSR-250N (new)
  • DSR-500N (new)
  • DSR-1000 (new)
  • DSR-1000N (new)

Huawei:

  • HG8245 (new)

Linksys:

  • E1200
  • E2500
  • E3000 (new)
  • E3200 (new)
  • E4200 (new)
  • RV082 (new)
  • WRVS4400N

Mikrotik: (устранено в RouterOS версии 6.38.5)

  • CCR1009 (new)
  • CCR1016
  • CCR1036
  • CCR1072
  • CRS109 (new)
  • CRS112 (new)
  • CRS125 (new)
  • RB411 (new)
  • RB450 (new)
  • RB750 (new)
  • RB911 (new)
  • RB921 (new)
  • RB941 (new)
  • RB951 (new)
  • RB952 (new)
  • RB960 (new)
  • RB962 (new)
  • RB1100 (new)
  • RB1200 (new)
  • RB2011 (new)
  • RB3011 (new)
  • RB Groove (new)
  • RB Omnitik (new)
  • STX5 (new)

Netgear:

  • DG834 (new)
  • DGN1000 (new)
  • DGN2200
  • DGN3500 (new)
  • FVS318N (new)
  • MBRN3000 (new)
  • R6400
  • R7000
  • R8000
  • WNR1000
  • WNR2000
  • WNR2200 (new)
  • WNR4000 (new)
  • WNDR3700 (new)
  • WNDR4000 (new)
  • WNDR4300 (new)
  • WNDR4300-TN (new)
  • UTM50 (new)

QNAP:

  • TS251
  • TS439 Pro
  • Другие NAS-устройства QNAP с QTS

TP-Link:

  • R600VPN
  • TL-WR741ND (new)
  • TL-WR841N (new)

Ubiquiti:

  • NSM2 (new)
  • PBE M5 (new)

UPVEL:

  • Список моделей неизвестен (new)

ZTE:

  • ZXHN H108N (new)

Напомним, ФБР рассказало пользователям, что нужно предпринять в случае заражения маршрутизаторов вредносом VPNFilter. Оказывается, нужно всего лишь перезагрузить затронутые роутеры. VPNFilter связывают с группировкой Fancy Bear, которая, как многие предполагают, спонсируется Кремлем.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Microsoft: Активность Linux-вредоноса XorDDoS выросла на 254%

Скрытный модульный вредонос XorDDoS, который используется для взлома устройств на Linux и организации DDoS-ботнета, нарастил активность в Сети. По данным Microsoft, за последние шесть месяцев атаки XorDDoS продемонстрировали скачок в 254%.

Впервые об этом зловреде стало известно в 2014 году. Своё имя он получил из-за использования основанного на XOR шифрования, защищающего коммуникации между вредоносом и командным сервером (C2).

Специалисты Microsoft считают, что успех XorDDoS кроется в методах ухода от детектирования и сокрытия в системе жертвы.

«Среди функциональных возможностей вредоносной программы можно отметить обфускацию всех активностей, что помогает обойти защитные меры, действующие на основе правил и поиска по хешу файла. Также бросаются в глаза методы ухода от форензики», — пишут исследователи.

«Мы заметили, что в последних кампаниях XorDDoS прячет свои действия, перезаписывая важные файлы нулевыми байтами».

Как известно, вредонос способен атаковать различные архитектуры системы Linux — от ARM (IoT) до x64-серверов. Слабо защищённые ОС XorDDoS пробивает SSH-брутфорсом. Для дальнейшего распространения зловред использует шелл-скрипт, задача которого — аутентифицироваться с правами root, используя различные пароли.

 

Кроме того, XorDDoS способен устанавливать руткиты и другие пейлоады в атакованную систему.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru