В сотнях сетей все еще присутствуют устройства, зараженные VPNFilter

В сотнях сетей все еще присутствуют устройства, зараженные VPNFilter

В сотнях сетей все еще присутствуют устройства, зараженные VPNFilter

Многофункциональный зловред VPNFilter, сумевший заразить 500 тыс. роутеров в 54 странах, потерял управление два года назад, но до сих пор не вычищен из сотен сетей и ждет своего часа. Таковы плачевные результаты очередной проверки, проведенной исследователями из Trend Micro.

Вредоносная программа VPNFilter объявилась в интернете в 2018 году. В список ее мишеней входит широкий спектр сетевых устройств — десятки моделей роутеров и сетевых накопителей от ASUS, D-Link, Huawei, Linksys, MikroTik, Netgear, QNAP, TP-Link, Ubiquiti, UPVEL и ZTE.

Вредонос обладает широкими возможностями: он умеет собирать информацию о зараженном устройстве и отсылать ее на свой сервер, открывать удаленный доступ, перенаправлять проходящий через роутер трафик, блокировать заданные адреса, выполнять сканирование портов, составлять карту сети, проводить атаки «человек посередине» (MitM), перезаписывать файлы прошивки зараженного устройства.

Свой С2-сервер VPNFilter ищет, запрашивая образ на Photobucket. В случае неудачи он обращается к домену toknowall[.]com. Если и эта попытка оказалась провальной, зловред начинает просматривать входящие TCP-пакеты в ожидании послания с IP-адресом.

Домен toknowall[.]com давно нейтрализован совместными усилиями ИБ-экспертов, активистов и ФБР — соответствующий сервер был подменен по методу sinkhole, и попытки соединения с ним контролируют специалисты. Просмотрев последние данные о подключениях, в Trend Micro обнаружили, что VPNFilter все еще жив почти на 5,5 тыс. сетевых устройств. На самом деле число заражений, по словам экспертов, может быть значительно выше: многие заблокировали доступ к вредоносному домену на уровне DNS.

Исследователи также решили проверить, сколько зараженных устройств готово к возобновлению вредоносной активности. Они сформировали сетевой пакет с IP-адресом sinkhole-сервера и разослали его инфицированным адресатам. Положительный отклик был получен из 1,8 тыс. сетей, а 363 вновь запросили домен toknowall[.]com, пытаясь установить соединение на порту 443. Остальные, видимо, не смогли это сделать из-за блокировки toknowall[.]com на файрволе.

Решить сохранившуюся проблему, со слов экспертов, можно заменой зараженного устройства или обновлением прошивки — соответствующие патчи, скорее всего, уже вышли. Перезагрузка в данном случае не поможет, хотя прежде считалось, что это верный способ избавиться от VPNFilter.

Подпишитесь на новости

ВС признал переписку с адвокатом в телефоне обвиняемого доказательством

Переписка с адвокатом в смартфоне не получила автоматический пропуск из уголовного дела. Верховный суд РФ признал допустимыми сообщения, найденные в телефоне обвиняемого: мужчина добровольно передал устройство оперативникам и сообщил пароль. Защита ссылалась на адвокатскую тайну, но суд этот довод отклонил.

Позиция изложена в определении ВС от 14 октября 2026 года по делу № 19-УД26-24-А3.

Фигурант утверждал, что заказал из-за границы растительное удобрение, а наркотическое вещество оказалось в посылке по ошибке отправителя. Однако суд счёл, что содержимое телефона подтверждает его осведомлённость ещё до таможенного досмотра.

Среди прочего мужчина отправлял адвокату сведения о предстоящем контроле и ссылку на статью об ответственности за заказ митрагинина.

ВС указал: адвокатская тайна связана с оказанием юридической помощи, а адвокат не вправе разглашать её без согласия доверителя. Но здесь исследовали телефон самого обвиняемого, добровольно выданный вместе с паролем. Оперативно-разыскное мероприятие суд признал законным, отметив наличие судебного разрешения.

При этом явку с повинной и опрос, оформленные без адвоката, исключили из доказательств. Переписка же в деле осталась. Итоговый приговор — 15 лет и шесть месяцев колонии строгого режима — ВС менять не стал.

В этой истории стоит учитывать, что речь шла о добровольной передаче устройства, сообщении пароля и законности ОРМ. Даже такой сомнительный прецедент не даёт оснований считать, что любую переписку с поверенным теперь можно прочитать.

RSS: Новости на портале Anti-Malware.ru