Новичок Condi объединяет роутеры TP-Link Archer AX21 в DDoS-ботнет

Новичок Condi объединяет роутеры TP-Link Archer AX21 в DDoS-ботнет

Новичок Condi объединяет роутеры TP-Link Archer AX21 в DDoS-ботнет

Новый вредонос Condi привлёк внимание исследователей эксплуатацией уязвимости в роутерах TP-Link Archer AX21 (AX1800). Задача зловреда — заразить как можно больше маршрутизаторов и объединить их в DDoS-ботнет.

Команда Fortinet FortiGuard Labs утверждает, что кампания по распространению Condi длится с конца мая 2023 года. Автором вредоноса якобы является киберпреступник с ником zxcr9999 в Telegram. Соответствующий телеграм-канал — Condi Network — используется для рекламы и продажи ботнета.

«Интересующий нас телеграм-канал начал функционировать в мае 2022 года. Автор зарабатывал услугами DDoS-as-a-service и продажей исходного кода вредоносной программы», — пишут специалисты.

Анализ Condi выявил интересную функциональность: возможность завершать процессы конкурирующих ботнетов на одном хосте. Однако вредонос также удивил отсутствием функции закрепления в системе, поскольку он не может пережить даже перезагрузку.

Чтобы обойти свой очевидный недостаток, Condi удаляет несколько бинарников, используемых для выключения и перезагрузки системы. Вот они:

  • /usr/sbin/reboot
  • /usr/bin/reboot
  • /usr/sbin/shutdown
  • /usr/bin/shutdown
  • /usr/sbin/poweroff
  • /usr/bin/poweroff
  • /usr/sbin/halt
  • /usr/bin/halt

Кроме того, ботнет использует модуль сканера, проверяющий наличие уязвимости TP-Link Archer AX21. Если он находит брешь, выполняется шелл-скрипт для извлечения вредоносной программы. Речь идёт об уязвимости CVE-2023-1389, допускающей внедрение команды (получила 8,8 балла по шкале CVSS).

Роскомнадзор экономит ресурсы, замедляя Telegram

Мощностей технических средств противодействия угрозам (ТСПУ), которые Роскомнадзор использует для ограничения доступа к ресурсам, по мнению экспертов, оказалось недостаточно для одновременного воздействия на несколько крупных платформ. В результате ведомству приходится применять альтернативные технические методы.

Как считают эксперты, опрошенные РБК, именно этим может объясняться исчезновение домена YouTube из DNS-серверов Роскомнадзора, о котором накануне сообщил телеграм-канал «Эксплойт».

Управляющий директор инфраструктурного интегратора «Ультиматек» Джемали Авалишвили в комментарии РБК связал ситуацию с началом замедления Telegram:

«Фактически подконтрольные Роскомнадзору DNS-серверы перестали возвращать корректные адреса для домена youtube.com, что привело к невозможности подключения пользователей. Такой метод — часть технического арсенала Роскомнадзора для ограничения доступа к “неугодным” ресурсам. Он не нов и применяется в России наряду с блокировкой IP-адресов и пакетной фильтрацией».

Независимый эксперт телеком-рынка Алексей Учакин пояснил, что подобный подход может использоваться для экономии ресурсов, которых недостаточно для одновременного замедления двух крупных платформ:

«Поскольку все провайдеры обязаны использовать национальную систему доменных имен, то есть DNS-серверы под контролем Роскомнадзора, фактически появляется грубый, но достаточно надежный “выключатель” YouTube на территории России. При этом даже такая мера не перекрывает все способы обхода блокировок».

Замедление Telegram в России началось 10 февраля — об этом сначала сообщили СМИ со ссылкой на источники, а затем информацию официально подтвердил Роскомнадзор. Однако жалобы пользователей на снижение скорости работы мессенджера появились еще 9 февраля.

RSS: Новости на портале Anti-Malware.ru