Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Исследователи из Alien Labs компании AT&T выявили новую вредоносную программу, нацеленную на сетевые и IoT-устройства. Linux-зловред с кодовым именем BotenaGo ищет потенциально уязвимые мишени и пытается применить эксплойты, коих у него более трех десятков.

На момент анализа написанные на Go боты, по словам экспертов, плохо детектились антивирусами. По состоянию на 14 ноября их распознают половина защитных решений из коллекции VirusTotal (29/60), некоторые — с вердиктом Mirai, но DDoS-функциональности у новобранца не обнаружено.

После запуска BotenaGo включает счетчик заражений, чтобы информировать оператора об успехах.

 

После этого вредонос ищет папку dlrs для загрузки своих шелл-скриптов. Если эта папка не найдена, он прекращает свою работу. В противном случае происходит вызов функции scannerInitExploits, отвечающей за подготовку площади атаки — сопоставление эксплойтов с сигнатурами целевых систем.

 

Сама атака происходит следующим образом: BotenaGo отправляет простой запрос GET, ищет в ответе знакомую строку (сигнатуру) и, обнаружив совпадение, пускает в ход эксплойт.

Список уязвимостей, используемых зловредом (только те, что имеют CVE-идентификатор), в разделении по производителям устройств:

Поиск по Shodan строки Server: Boa/0.93.15, которая для бота является сигналом к атаке, показал около 2 млн потенциально уязвимых устройств. Результаты по строке Basic realm=\"Broadband Router\, на которую вредонос реагирует эксплойтом CVE-2020-10173 для Comtrend VR-3033, оказались скромнее, но тоже впечатляющими — 250 тыс. потенциальных мишеней.

Команды BotenaGo получает двумя способами: прослушивает порты 31412 и 19412 (на последнем получает IP-адрес цели) или использует терминал системы. Так, при работе зловреда локально в виртуальной машине оператор может подавать команды через Telnet.

После успешного эксплойта бот по идее должен продолжать атаку, используя присланную ссылку. Однако определить его дальнейшие действия не удалось: к моменту анализа вся полезная нагрузка уже была удалена с сервера BotenaGo.

Из-за отсутствия активной связи зловреда с C2-сервером исследователям осталось только гадать о причинах его появления в интернете. По мнению Alien Labs, варианты могут быть такими:

  1. BotenaGo является частью тулкита; в этом случае должен существовать другой модуль, передающий ему IP-адреса целей или обновляющий такую информацию на C2. 
  2. Ссылки на полезную нагрузку говорят о связи с Mirai; не исключено, что BotenaGo — новый инструмент, который операторы Mirai задействуют лишь на определенных устройствах в составе ботнета, отдавая команды вручную. 
  3. BotenaGo проходит бета-тестирование, и его код случайно слили в Сеть.

Как бы то ни было, зловред с таким богатым арсеналом составляет большую угрозу для многочисленных устройств, прошивки которых редко обновляются. Эксперты предупреждают, что число эксплойтов, которыми оперирует BotenaGo, может со временем возрасти.

Заметим, для Mirai-подобных ботнетов и аналогов использование большого количества эксплойтов для наращивания потенциала — не редкость. Достаточно вспомнить Satori, Hakai, Mozi и совсем недавний Gitpaste-12.

Маркетплейсы потеряли до 10% трафика после блокировки VPN

Российские маркетплейсы в апреле столкнулись с падением пользовательской активности после новых ограничений на VPN-трафик. Больше всего досталось Wildberries: по оценкам экспертов, мобильный веб-трафик площадки за месяц сократился на 10%, а десктопный — на 6%.

Об этом пишет «Коммерсантъ» со ссылкой на данные Digital Budget. У Ozon и «Яндекс Маркета» мобильный трафик в апреле снизился на 3%, у «Авито» — на 1,5%. На десктопе картина мягче: у Ozon трафик даже вырос на 1%, у «Авито» — на 2%, а у «Яндекс Маркета» — сразу на 26%. Но Wildberries оказался в минусе и там.

Причину участники рынка связывают с требованием Минцифры ограничивать доступ к российским платформам через VPN. В конце марта стало известно, что ИТ-компании, которые не будут блокировать такой трафик, могут лишиться места в профильном реестре министерства. А заодно — вылететь из «белого списка» сайтов, доступных при отключении интернета.

Проблема в том, что многие пользователи держат VPN включённым постоянно, не специально ради маркетплейсов, а просто в фоне для других сервисов. В итоге человек открывает приложение, видит сбои, задержки или недоступность, закрывает его и идёт заниматься жизнью. Корзина подождёт, продавцы — нет.

По оценке Strategy Partners, трафик приложений маркетплейсов в апреле сократился на 2-10% в зависимости от площадки. Продажи могли просесть до 4%, поскольку активное ядро покупателей всё же остаётся. Но для отрасли даже такие проценты — не мелочь.

По оценкам селлеров, падение выручки в апреле составило от 3% до 30% по сравнению с мартом. Они напрямую связывают это с блокировками VPN. Операционный директор «Рейтинга Рунета» Анатолий Денисов оценивает возможные денежные потери площадок примерно в 1%. Если пересчитать на общий объём продаж маркетплейсов в 2025 году — 8,59 трлн рублей, — речь может идти примерно о 7 млрд рублей.

В Ассоциации компаний интернет-торговли считают, что ограничения VPN-трафика усложняют доступ к российским сервисам как для покупателей внутри страны, так и за рубежом. А это уже бьёт не только по удобству, но и по конкурентоспособности площадок.

Отдельно эксперты отмечают, что лучше держатся сервисы внутри крупных экосистем. Например, «Яндекс Маркет» мог частично компенсировать потери за счёт поиска, браузера, рекламной сети и других продуктов «Яндекса». Если пользователь не пришёл через один вход, экосистема может аккуратно провести его через другой.

А вот площадки, которые сильнее зависят от внешнего трафика, рекламы в соцсетях и переходов из мессенджеров, оказываются уязвимее. Для них VPN-блокировки — это не просто техническая мера, а реальный удар по воронке продаж.

RSS: Новости на портале Anti-Malware.ru