Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Миллионам роутеров и IP-камер угрожает бот, вооруженный 30+ эксплойтами

Исследователи из Alien Labs компании AT&T выявили новую вредоносную программу, нацеленную на сетевые и IoT-устройства. Linux-зловред с кодовым именем BotenaGo ищет потенциально уязвимые мишени и пытается применить эксплойты, коих у него более трех десятков.

На момент анализа написанные на Go боты, по словам экспертов, плохо детектились антивирусами. По состоянию на 14 ноября их распознают половина защитных решений из коллекции VirusTotal (29/60), некоторые — с вердиктом Mirai, но DDoS-функциональности у новобранца не обнаружено.

После запуска BotenaGo включает счетчик заражений, чтобы информировать оператора об успехах.

 

После этого вредонос ищет папку dlrs для загрузки своих шелл-скриптов. Если эта папка не найдена, он прекращает свою работу. В противном случае происходит вызов функции scannerInitExploits, отвечающей за подготовку площади атаки — сопоставление эксплойтов с сигнатурами целевых систем.

 

Сама атака происходит следующим образом: BotenaGo отправляет простой запрос GET, ищет в ответе знакомую строку (сигнатуру) и, обнаружив совпадение, пускает в ход эксплойт.

Список уязвимостей, используемых зловредом (только те, что имеют CVE-идентификатор), в разделении по производителям устройств:

Поиск по Shodan строки Server: Boa/0.93.15, которая для бота является сигналом к атаке, показал около 2 млн потенциально уязвимых устройств. Результаты по строке Basic realm=\"Broadband Router\, на которую вредонос реагирует эксплойтом CVE-2020-10173 для Comtrend VR-3033, оказались скромнее, но тоже впечатляющими — 250 тыс. потенциальных мишеней.

Команды BotenaGo получает двумя способами: прослушивает порты 31412 и 19412 (на последнем получает IP-адрес цели) или использует терминал системы. Так, при работе зловреда локально в виртуальной машине оператор может подавать команды через Telnet.

После успешного эксплойта бот по идее должен продолжать атаку, используя присланную ссылку. Однако определить его дальнейшие действия не удалось: к моменту анализа вся полезная нагрузка уже была удалена с сервера BotenaGo.

Из-за отсутствия активной связи зловреда с C2-сервером исследователям осталось только гадать о причинах его появления в интернете. По мнению Alien Labs, варианты могут быть такими:

  1. BotenaGo является частью тулкита; в этом случае должен существовать другой модуль, передающий ему IP-адреса целей или обновляющий такую информацию на C2. 
  2. Ссылки на полезную нагрузку говорят о связи с Mirai; не исключено, что BotenaGo — новый инструмент, который операторы Mirai задействуют лишь на определенных устройствах в составе ботнета, отдавая команды вручную. 
  3. BotenaGo проходит бета-тестирование, и его код случайно слили в Сеть.

Как бы то ни было, зловред с таким богатым арсеналом составляет большую угрозу для многочисленных устройств, прошивки которых редко обновляются. Эксперты предупреждают, что число эксплойтов, которыми оперирует BotenaGo, может со временем возрасти.

Заметим, для Mirai-подобных ботнетов и аналогов использование большого количества эксплойтов для наращивания потенциала — не редкость. Достаточно вспомнить Satori, Hakai, Mozi и совсем недавний Gitpaste-12.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

UserGate запустил собственный SOC

Российский разработчик экосистемы ИБ-решений компания UserGate объявила о начале работы собственного центра мониторинга информационной безопасности (SOC, Security Operations Center). Его услуги станут доступны в мае 2024 года.

SOC UserGate не только обеспечит доступ клиентов компании к классическим услугам мониторинга, но и позволит разгрузить ИБ-команды своих заказчиков, усилить экспертизу в области детектирования угроз.

Востребованность услуг коммерческих SOC среди заказчиков объясняется необходимостью значительных затрат на приобретение аппаратного и программного обеспечения для построения собственного in-house SOC-а, инвестиций в создание и развитие команды ИБ-специалистов, работающей в режиме 24/7. Сегодня ресурсами и знаниями, необходимыми для создания собственного центра мониторинга и реагирования обладают лишь самые крупные заказчики. Поэтому получение услуг облачного SOC становится для многих предприятий единственной возможностью решить все задачи, связанные с мониторингом информационной безопасности, не прибегая при этом к серьезным капитальным затратам.

Компания UserGate накопила значительные компетенции не только в области разработки и производства средств защиты корпоративных сетей передачи данных. Сегодня UserGate обладает глубокой и всесторонней экспертизой в области информационной безопасности в целом. Она позволяет предложить российским заказчикам услуги облачного SOC-а, т.н. SOCaaS: мониторинг событий, анализ инцидентов, ИБ-аналитика. Кроме того, возможности компании позволяют дополнить это предложение услугами, связанными с анализом защищенности систем, киберкриминалистикой и постинцидентным анализом, повышением осведомленности сотрудников организаций в области информационной безопасности, как рядовых пользователей, так и ИТ-специалистов, ИБ-консалтингом, разработкой архитектуры и процессов, связанных с обеспечением информационной безопасности.   

«Мы создавали SOC для того, чтобы сделать мониторинг информационной безопасности и реагирование на инциденты простыми и доступными для компаний, которые осознали эту необходимость. Сегодня у нас есть для этого все необходимое: широкие компетенции в ИБ, штат высококлассных специалистов и аппаратная база для организации процесса мониторинга. Создавая свой SOC, мы использовали лучшие мировые и российские практики, чтобы не только обеспечить технологическую и экспертную эффективность центра, но и сделать использование его услуг простым и понятным для всех клиентов», – говорит Дмитрий Шулинин руководитель SOC UserGate.

SOC UserGate построен по классической схеме. Его составляют три ключевых компонента: команда специалистов, необходимые средства технического мониторинга и реагирования на инциденты, а также процессы, которые обеспечивают связность работы всех систем центра.

В команду SOC UserGate вошли специалисты, имеющие богатый опыт создания и развития крупнейших российских центров. Они сформировали три группы, которые занимаются мониторингом безопасности, разработкой контента (правил для SIEM системы, плейбуков в IRP-платформе), ведут проактивный поиск угроз в защищаемых инфраструктурах. Кроме того, в состав команды центра входит группа SRE (Site Reliability Engineering), состоящая из инженеров, ответственных за внедрение, настройку и поддержку всех технических решений SOC.

Услуги по мониторингу безопасности и оповещению обеспечиваются системами сбора информации, которые размещаются на площадках заказчиков и отправляют данные по защищенным каналам связи в SOC для их обработки в автоматизированном, а при необходимости и в ручном режиме, а также для обогащения дополнительной информацией и дальнейшего хранения. При обнаружении инцидентов аналитики центра проводят оповещение ответственных сотрудников заказчика.

В перспективе базовая функциональность SOC будет дополнена личным кабинетом клиента, который будет содержать всю необходимую информацию, от инфографики, демонстрирующей работу инфраструктуры, карточек инцидентов, до SIEM-правил и базы знаний. Личный кабинет станет доступен клиентам SOC UserGate в 1 квартале 2025 года.

Еще одно расширение функциональности SOC – реагирование на киберинциденты – ожидается до конца 2025 года. Для получения этой услуги клиентам необходимо будет обеспечить более глубокую интеграцию технической базы SOC со своими инфраструктурами, а также погружение специалистов центра в ее специфику.

SOC UserGate предполагает периодическую корректировку сервиса, которая проводится для изменения и дополнения правил SIEM, настроек источников событий ИБ в соответствии с особенностями работы или изменения инфраструктур клиентов. Регулярно, клиенты SOC получают подробные отчеты о результатах мониторинга безопасности и инцидентах, выявленных в защищаемой инфраструктуре. Предусмотрено предоставление кратких информационных еженедельных отчетов и развернутых ежемесячных.

Наконец, еще одна отличительная черта SOC UserGate – стремление к максимальной гибкости в работе. Оно касается как технических средств взаимодействия с клиентами (использование различных схем подключения и средств мониторинга, размещаемых внутри защищаемых периметров), так и вариативности подходов к составу и оплате используемых услуг центра.

Услуги SOC позволят клиентам UserGate значительно сократить и оптимизировать расходы на безопасность, получить доступ к лучшим ИБ-практикам и экспертизе квалифицированных профессионалов, сократить нагрузку на собственные ИБ-команды, в разы сократить риски, связанные с киберинцидентами и преодолением их последствий, и, наконец, обеспечить надежный круглосуточный мониторинг своей инфраструктуры.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru