Ботнет пять лет взламывал роутеры TP-Link и отправлял с них СМС

Ботнет пять лет взламывал роутеры TP-Link и отправлял с них СМС

Ботнет пять лет взламывал роутеры TP-Link и отправлял с них СМС

Киберпреступники как минимум с 2016 года взламывали маршрутизаторы TP-Link, чтобы объединить эти устройства в ботнет. Встроенная функция отправки СМС-сообщений помогла злоумышленникам организовать сервис по отправке текстовых сообщений (Messaging-as-a-Service).

Фактически пять лет заражённые роутеры вполне спокойно отравляли коды верификации, а также зашифрованные сообщения, до смысла которых ещё только предстоит добраться.

 

О действиях ботнета специалист Acronis Роберт Ньюмэн и сотрудник Search-Lab Гергей Еберхант рассказали вчера на конференции Virus Bulletin 2021. По словам Ньюмэна, он впервые начал наблюдать за ботнетом в мае 2018 года.

Тогда эксперта попросили провести расследование взлома маршрутизаторов, из-за которых владельцам приходили огромные счета за сотовую связь. Львиную долю непонятных расходов составляли СМС-сообщения, для отправки которых использовалась вставленная в устройства СИМ-карта.

Ньюмэн потратил три года на тщательное исследование активности злоумышленников, что привело к открытию ботнета. Для этого потребовалось изучить логи многих жертв и опросить их. В итоге эксперту удалось выяснить, как именно киберпреступники взламывали роутеры. Оказалось, что атакующие задействовали уязвимость, обнаруженную ещё в 2015 году. Она позволяла получить доступ к файлам, хранящимся в маршрутизаторе.

Ньюмэну удалось воспроизвести эксплойт, с помощью которого преступники проникали на устройства. Баг отлично подошёл для того, чтобы получить доступ к LTE-функциям. В итоге специалист смог «отравлять СМС-сообщения, считывать данные из входящих и исходящих посланий и модифицировать настройки времени LAN».

Уязвимыми устройствами оказались маршрутизаторы серии TP-Link MR6400. Несмотря на то что в последних версиях прошивки от этой уязвимости не осталось и следа, тысячи уязвимых роутеров всё ещё спокойно работали. Более того, многие остаются непропатченными и по сей день.

В Диске VK WorkSpace появилась корзина домена для случайно удалённых файлов

VK WorkSpace добавила в облачную и серверную версии Диска несколько функций для защиты и восстановления корпоративных данных. Главное — расширенный аудит, поиск по общим папкам и корзина домена. Расширенный аудит должен помочь ИБ-специалистам разбираться, что именно происходило с файлами и кто выполнял действия.

В частности, система теперь подробнее отображает операции администраторов, которые входили от имени пользователя. Это может быть полезно при расследовании инцидентов и проверке соблюдения внутренних регламентов.

Ещё одно нововведение — корзина домена. Если пользователь удаляет файлы или папки из общей папки, они попадают не в никуда, а в отдельную корзину. Срок хранения задаёт администратор. Пока он не истёк, данные можно восстановить вместе со всем содержимым и правами доступа либо удалить окончательно.

Администраторы также получили доступ к корзинам общих папок. Например, если сотрудник случайно удалил отчётность или важные рабочие документы, их можно вернуть без сложных процедур восстановления из резервной копии.

Кроме того, в Диске появился расширенный поиск по всем общим папкам. Папки можно искать по названию, а файлы — по названию, формату, автору, дате создания или изменения и размеру. Это пригодится в ситуациях, когда сотрудник потерял документ, но не помнит, где именно он лежал.

В облачной версии из результатов расширенного поиска администраторы могут также удалять найденные файлы и папки.

Руководитель направления сервисов продуктивности VK Tech Пётр Щеглов отметил, что корпоративные хранилища используют от 80% до 93% компаний — от малого бизнеса до крупных организаций и госсектора.

По его словам, многие из них предъявляют повышенные требования к информационной безопасности, поэтому в Диске VK WorkSpace расширяют инструменты контроля над данными и прозрачности действий пользователей.

RSS: Новости на портале Anti-Malware.ru