Cyclops Blink начал приобщать к ботнету роутеры ASUS

Cyclops Blink начал приобщать к ботнету роутеры ASUS

Cyclops Blink начал приобщать к ботнету роутеры ASUS

Исследователи из Trend Micro обнаружили версию Linux-бота Cyclops Blink, нацеленную на роутеры ASUS. Производитель сетевых устройств обновил прошивки и опубликовал рекомендации по профилактике заражения.

До сих пор вредонос Cyclops Blink атаковал только файрволы WatchGuard Firebox и за 2,5 года сумел поразить более 1,5 тыс. устройств в 70 странах. Поскольку зловредные боты имеют модульную структуру, появление варианта другой ориентации не сильно удивило экспертов.

В Trend Micro изучили раздобытый образец и предупредили ASUS о новой угрозе. Вендор начал проверять свои роутеры на уязвимость к атакам Cyclops Blink и обновлять прошивки; список затронутых продуктов приведен в бюллетене по безопасности от 17 марта 2022 года. Расследование еще не закончено; пользователям на всякий случай советуют сбросить настройки до заводских, усилить админ-пароли и отключить удаленный доступ из WAN.

Эксперты Trend Micro, со своей стороны, опубликовали результаты анализа ASUS-версии Cyclops Blink, а также список (PDF) всех известных C2-серверов, в том числе уже обезвреженных, так как резидентные боты упрямо пытаются к ним подключиться. Примечательно, что в качестве центров управления бот использует взломанные устройства WatchGuard. В общей сложности исследователи насчитали более 150 таких узлов; некоторые из них были скомпрометированы еще летом 2019 года.

Адреса C2 и номера TCP-портов жестко прописаны в коде Cyclops Blink, задан также интервал обращений к таким узлам. Для каждого используемого порта вредонос создает правило в Netfilter (файрвол, встроенный в ядро Linux), чтобы без помех выводить информацию в свой канал связи.

Разбор кода написанного на C зловреда выявил три вшитых модуля:

  • 0x38 — работает с данными во флеш-памяти устройств ASUS; способен обеспечить зловреду постоянное присутствие в системе, которое не сможет нарушить даже откат до заводских настроек;
  • 0x08 — отвечает за отправку на C2-сервер данных зараженной системы (версия Linux, потребление памяти, список пользовательских аккаунтов, разделение пользователей на группы, информация о монтировании файловой системы, подключенных разделах дисков, сетевых интерфейсах);
  • 0x0f — обеспечивает загрузку файлов из интернета; поиск источника осуществляется с использованием DoH-сервиса Google (DNS over HTTPS).

Модули бота взаимодействуют друг с другом, используя штатные IPC-механизмы Linux. По этим каналам передается такая информация, как локальный IP-адрес, ID основного процесса, адреса и порты C2-серверов, интервал для C2-коммуникаций, время отправки следующего пакета данных, новые параметры.

Собранную информацию Cyclops Blink шифрует с помощью OpenSSL и отсылает на свой сервер. Для шифрования используется AES-256 в режиме CBC; ключ генерируется на месте и впоследствии шифруется вшитым в код открытым ключом RSA-2560 (длиной 320 бит).

Сервер-получатель и порт выбираются случайным образом из заданного списка, при подключении выполняется TLS-хэндшейк. В ответ вредонос может получить команду — изменение времени отправки данных, добавление C2-сервера в список, обновление конфигурации, добавление модуля, перезагрузка или завершение программы.

Инфицированные ASUS-роутеры подключаются к тем же C2, что и WatchGuard-боты; эксперты также зафиксировали случаи заражения других устройств — их определили как роутеры, но бренд установить не удалось.

За 2,5 года ботоводы совокупно использовали более 50 SSL-сертификатов для WatchGuard C2 на различных TCP-портах (636, 989, 990, 994, 995, 3269 и 8443). Исследователи также выявили более 200 жертв Cyclops Blink в разных странах — в основном это устройства WatchGuard и ASUS в США, Индии, Италии и Канаде. Конечная цель создания ботнета пока неясна, хотя его в принципе можно использовать и для проксирования вредоносного трафика, и для DDoS-атак, и для шпионажа.

После аварии на спутнике доступ к ТВ восстановили не везде

Работы по восстановлению доступа к спутниковому телевидению в регионах, пострадавших из-за аварии на спутнике «Экспресс-АТ1», пока не завершены. При этом уже достигнут существенный прогресс: в частности, досрочно выведен на орбиту аппарат АБС 2А, запуск которого изначально планировался только на III квартал.

О ходе ликвидации последствий аварии, оставившей без телевидения около 5 млн абонентов, рассказали на пресс-конференции директор департамента спутникового вещания «Триколор» Максим Ловушкин, министр цифрового развития и связи Алтайского края Евгений Зрюмов и министр цифрового развития и связи Кемеровской области Максим Садиков.

Как отметили участники мероприятия, этот инцидент стал самым масштабным за всю историю отрасли. Ранее аварий, приводивших к полному выходу спутников из строя, не фиксировалось. По словам Максима Ловушкина, обычно выходила из строя лишь часть систем либо удавалось восстановить их работоспособность. Однако к подобным ситуациям необходимо быть готовыми, поскольку космос — крайне агрессивная среда, и даже 100% резервирование, предусмотренное стандартами проектирования космической техники, не всегда гарантирует защиту.

Представитель «Триколора» сообщил о текущих мерах по восстановлению доступа к цифровому телевидению. Там, где это возможно, абонентов переключили на спутник «Экспресс-АМ1». Кроме того, удалось договориться о досрочном выводе на орбиту аппарата АБС 2А, который, по словам Ловушкина, является наиболее перспективным для сибирских регионов. Параллельно было организовано вещание через интернет, в том числе в мобильном приложении «Триколора».

Сильнее всего пострадали сибирские регионы. Это связано с тем, что в ряде территорий единственным способом приёма телевизионного сигнала остаётся спутниковая связь. Как отметил Евгений Зрюмов, в Алтайском крае в такую зону входят 258 населённых пунктов, где без телевидения остались около 200 тыс. человек. В целом после аварии 4 марта без доступа к спутниковому телевидению остаются около 4,5 млн абонентов.

В Кемеровской области, по словам Максима Садикова, наиболее серьёзно пострадали пригороды шахтёрских городов на юге региона. Там преобладает частный сектор, а из-за сложного горного рельефа альтернативные способы доставки телевизионного сигнала либо затруднены, либо невозможны.

Региональные министры также высказали ряд претензий к операторам. В первую очередь речь шла о несвоевременном информировании пользователей о ходе восстановительных работ. Кроме того, на фоне ситуации появились желающие заработать на проблемах жителей: за переориентацию антенн или перепрошивку оборудования, необходимых для перехода на АБС 2А, с абонентов взимали плату.

Максим Ловушкин подчеркнул, что сотрудники оператора выполняют такие работы бесплатно, однако их ресурсов недостаточно, и пока удалось обработать менее половины заявок. В связи с этим компания подготовила инструкции для самостоятельной настройки оборудования, а региональные власти пообещали помочь с их распространением.

Также представитель «Триколора» сообщил, что в ряде случаев для подключения к АБС 2А потребуется замена абонентского оборудования. Эти расходы оператор берёт на себя. Кроме того, будет проведён перерасчёт: период отсутствия сигнала добавят к сроку действия подписок.

RSS: Новости на портале Anti-Malware.ru