Cyclops Blink начал приобщать к ботнету роутеры ASUS

Cyclops Blink начал приобщать к ботнету роутеры ASUS

Исследователи из Trend Micro обнаружили версию Linux-бота Cyclops Blink, нацеленную на роутеры ASUS. Производитель сетевых устройств обновил прошивки и опубликовал рекомендации по профилактике заражения.

До сих пор вредонос Cyclops Blink атаковал только файрволы WatchGuard Firebox и за 2,5 года сумел поразить более 1,5 тыс. устройств в 70 странах. Поскольку зловредные боты имеют модульную структуру, появление варианта другой ориентации не сильно удивило экспертов.

В Trend Micro изучили раздобытый образец и предупредили ASUS о новой угрозе. Вендор начал проверять свои роутеры на уязвимость к атакам Cyclops Blink и обновлять прошивки; список затронутых продуктов приведен в бюллетене по безопасности от 17 марта 2022 года. Расследование еще не закончено; пользователям на всякий случай советуют сбросить настройки до заводских, усилить админ-пароли и отключить удаленный доступ из WAN.

Эксперты Trend Micro, со своей стороны, опубликовали результаты анализа ASUS-версии Cyclops Blink, а также список (PDF) всех известных C2-серверов, в том числе уже обезвреженных, так как резидентные боты упрямо пытаются к ним подключиться. Примечательно, что в качестве центров управления бот использует взломанные устройства WatchGuard. В общей сложности исследователи насчитали более 150 таких узлов; некоторые из них были скомпрометированы еще летом 2019 года.

Адреса C2 и номера TCP-портов жестко прописаны в коде Cyclops Blink, задан также интервал обращений к таким узлам. Для каждого используемого порта вредонос создает правило в Netfilter (файрвол, встроенный в ядро Linux), чтобы без помех выводить информацию в свой канал связи.

Разбор кода написанного на C зловреда выявил три вшитых модуля:

  • 0x38 — работает с данными во флеш-памяти устройств ASUS; способен обеспечить зловреду постоянное присутствие в системе, которое не сможет нарушить даже откат до заводских настроек;
  • 0x08 — отвечает за отправку на C2-сервер данных зараженной системы (версия Linux, потребление памяти, список пользовательских аккаунтов, разделение пользователей на группы, информация о монтировании файловой системы, подключенных разделах дисков, сетевых интерфейсах);
  • 0x0f — обеспечивает загрузку файлов из интернета; поиск источника осуществляется с использованием DoH-сервиса Google (DNS over HTTPS).

Модули бота взаимодействуют друг с другом, используя штатные IPC-механизмы Linux. По этим каналам передается такая информация, как локальный IP-адрес, ID основного процесса, адреса и порты C2-серверов, интервал для C2-коммуникаций, время отправки следующего пакета данных, новые параметры.

Собранную информацию Cyclops Blink шифрует с помощью OpenSSL и отсылает на свой сервер. Для шифрования используется AES-256 в режиме CBC; ключ генерируется на месте и впоследствии шифруется вшитым в код открытым ключом RSA-2560 (длиной 320 бит).

Сервер-получатель и порт выбираются случайным образом из заданного списка, при подключении выполняется TLS-хэндшейк. В ответ вредонос может получить команду — изменение времени отправки данных, добавление C2-сервера в список, обновление конфигурации, добавление модуля, перезагрузка или завершение программы.

Инфицированные ASUS-роутеры подключаются к тем же C2, что и WatchGuard-боты; эксперты также зафиксировали случаи заражения других устройств — их определили как роутеры, но бренд установить не удалось.

За 2,5 года ботоводы совокупно использовали более 50 SSL-сертификатов для WatchGuard C2 на различных TCP-портах (636, 989, 990, 994, 995, 3269 и 8443). Исследователи также выявили более 200 жертв Cyclops Blink в разных странах — в основном это устройства WatchGuard и ASUS в США, Индии, Италии и Канаде. Конечная цель создания ботнета пока неясна, хотя его в принципе можно использовать и для проксирования вредоносного трафика, и для DDoS-атак, и для шпионажа.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

PT ICS обрела возможность выявлять SCADA-зловредов и атаки на ПЛК Siemens

Платформа для защиты промышленности от киберугроз PT Industrial Cybersecurity Suite (PT ICS) получила первый пакет экспертизы для выявления атак на АСУ на базе ПЛК Siemens Simatic S7. В пакет, доступный клиентам Positive Technologies в рамках лицензии для защиты индустриального сегмента, также включены правила, позволяющие обнаружить вредоносные программы, заточенные под АСУ ТП, — в том числе неизвестные.

В I квартале промышленные предприятия, по данным ИБ-компании, заняли третье место среди наиболее атакуемых российских учреждений, обогнав СМИ, сферу услуг, ИТ, науку и образование. Тенденция сохраняется уже несколько лет; в связи с этим остро встал вопрос об обеспечении комплексной защиты инфраструктуры промышленных компаний.

Таким решением является платформа PT ICS, объединяющая ключевые продукты Positive Technologies. Инструменты, хорошо известные корпоративным клиентам компании, дополнены возможностями по выявлению угроз, специфичных для АСУ ТП.

Представленный пакет экспертизы PT ICS содержит 24 правила корреляции для MaxPatrol SIEM, которые позволяют обнаружить атаки на АСУ, полагающиеся на ПЛК Siemens семейства Simatic S7. В частности, они помогают выявить действия злоумышленников в среде разработки Totally Integrated Automation Portal (TIA Portal), Simatic Step 7 и SCADA-системах Simatic WinCC.

В итоге MaxPatrol SIEM в составе PT ICS обрел возможность отслеживать события, грозящие нарушением технологического процесса — например, такие:

  • изменение параметров сети в ПЛК,
  • изменения в системном каталоге TIA Portal,
  • удаленное управление рабочей или инженерной станцией (сервером).

Новую экспертизу получил и PT Sandbox: он теперь умеет динамически выявлять использование инструментов Energetic Bear, Industroyer, Industroyer2, Triton и других вредоносных программ, взаимодействующих с контроллерами. Продукт также проводит поведенческий анализ образцов, обнаруженных в файлах и ссылках из почты, трафика, общих сетевых папок и конечных узлов АСУ ТП, и по специфической активности определяет зловредов, нацеленных на компоненты SCADA.

Кроме того, новые правила детектирования PT Sandbox помогают статически выявлять попытки сканирования портов, используемых промышленными ПЛК более 50 зарубежных и отечественных вендоров, в том чсиле CIP, ELCOM, IOSYS, Modbus и PhoenixHW. Подобная активность может свидетельствовать о поиске ПЛК и SCADA-систем, пригодных для атаки.

«Расширив существующие лицензии для поддержки промышленного сегмента, специалисты по ИБ продолжат работать со знакомыми и понятными инструментами, дополненными технологической экспертизой, — комментирует Роман Краснов, руководитель направления кибербезопасности промышленных предприятий в Positive Technologies. — Это позволит компаниям снизить затраты на внедрение новых систем кибербезопасности и интеграцию сторонних решений, а также повысить эффективность работы служб ИБ».

По словам эксперта, функциональность PT ICS будет и впредь совершенствоваться за счет новых возможностей и агентов. Таким образом, индустриальные компании смогут на одной платформе и в едином продуктовом портфеле построить SOC, равнозначно работающий как с корпоративной, так и технологической инфраструктурой.

Согласно пресс-релизу, следующие пакеты экспертизы PT ICS будут сформированы для таких компонентов, как MaxPatrol VM, MaxPatrol SIEM, PT ISIM и PT XDR.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru