Търсене
Close this search box.

Mustang Panda използва рутерите на TP-Link за постоянни атаки

Китайският държавен извършител, известен като Mustang Panda, е свързан с нов набор от сложни и целенасочени атаки, насочени към европейски структури в областта на външните работи от януари 2023 г. насам.

Анализът на тези прониквания, извършен от изследователите на Check Point Итай Коен и Радослав Мадей, разкрива имплант на персонализиран фърмуер, предназначен изрично за рутерите на TP-Link.

„Имплантът включва няколко злонамерени компонента, включително персонализирана задна врата, наречена „Horse Shell“, която позволява на нападателите да поддържат постоянен достъп, да изграждат анонимна инфраструктура и да дават възможност за странично придвижване в компрометирани мрежи“, заявиха от компанията.

„Благодарение на фърмуерно агностичния си дизайн компонентите на импланта могат да бъдат интегрирани в различни фърмуери на различни производители.“

Израелската фирма за киберсигурност проследява групата за заплахи под името Camaro Dragon, която е известна още като BASIN, Bronze President, Earth Preta, HoneyMyte, RedDelta и Red Lich.

Точният метод, използван за внедряване на подправените образи на фърмуера в заразените рутери, засега не е известен, както и неговото използване и участие в действителните атаки. Предполага се, че първоначалният достъп може да е бил придобит чрез използване на известни пропуски в сигурността или чрез грубо насилване на устройства с пароли по подразбиране или лесно отгатваеми пароли.

Това, което се знае, е, че имплантът Horse Shell, базиран на C++, предоставя на атакуващите възможността да изпълняват произволни шел команди, да качват и изтеглят файлове към и от маршрутизатора, както и да предават комуникация между два различни клиента.

 

Интересен обрат е, че задната врата на маршрутизатора е насочена към произволни устройства в жилищни и домашни мрежи, което предполага, че компрометираните рутери са включени в  мрежа с цел създаване на „верига от възли между основните инфекции и реалното командване и контрол“.

При препредаването на комуникациите между заразените маршрутизатори чрез използване на SOCKS тунел идеята е да се въведе допълнително ниво на анонимност и да се скрие крайният сървър, тъй като всеки възел във веригата съдържа информация само за предхождащите и следващите го възли.

Казано по друг начин, методите скриват произхода и местоназначението на трафика по начин, аналогичен на TOR, което прави много по-трудно откриването на обхвата на атаката и нейното прекъсване.

„Ако един възел от веригата е компрометиран или свален, нападателят все още може да поддържа комуникация с C2, като маршрутизира трафика през друг възел от веригата“, обясняват изследователите.

Въпреки това това не е първият случай, в който свързани с Китай банди разчитат на мрежа от компрометирани маршрутизатори, за да постигнат стратегическите си цели.

През 2021 г. Националната агенция за киберсигурност на Франция (ANSSI) подробно описа набор от прониквания, организирани от APT31 (известна още като Judgement Panda или Violet Typhoon), която използва част от усъвършенстван зловреден софтуер, известен като Pakdoor (или SoWat), за да позволи на заразените рутери да комуникират помежду си.

„Откритието е още един пример за дългогодишната тенденция на китайците да използват мрежови устройства, насочени към интернет, и да променят основния им софтуер или фърмуер“, казват изследователите.

 

Източник: The Hacker News

Подобни публикации

18 май 2024

Бивш лидер на OpenAI: Безопасността е "на заден...

Ян Лейке, който ръководеше екипа на OpenAI „Super Alignment&#...
18 май 2024

Киберсигурността в надпревара за разобличаване ...

Кевин Мандия, главен изпълнителен директор на Mandiant в Google Clo...
17 май 2024

Измамите с фалшиви фактури все още са сериозна ...

Измамите с фалшиви фактури не са нова тенденция, показват проучвани...
17 май 2024

Петима обвинени за киберсхеми в полза на оръжей...

Днес Министерството на правосъдието на САЩ повдигна обвинения на пе...
17 май 2024

Шпионската група "Маската" се появява отново сл...

Група за съвременни постоянни заплахи (APT), която не е била в дейс...
16 май 2024

400 000 Linux сървъра са засегнати от ботнета E...

Разширяването на ботнета Ebury Linux продължава без прекъсване през...
16 май 2024

Intel публикува 41 препоръки за сигурност за на...

Гигантът в областта на чиповете е пуснал пачове за повечето от тези...
Бъдете социални
Още по темата
16/05/2024

Украински и латвийски телев...

Само в Украйна бяха прекъснати поне...
16/05/2024

Ascension Healthcare претър...

Атаката прекъсна достъпа до електронните здравни...
15/05/2024

Публикуван е PoC експлойт з...

Рутерът D-Link EXO AX4800 (DIR-X4860) е...
Последно добавени
18/05/2024

Бивш лидер на OpenAI: Безоп...

Ян Лейке, който ръководеше екипа на...
18/05/2024

Киберсигурността в надпрева...

Кевин Мандия, главен изпълнителен директор на...
17/05/2024

Измамите с фалшиви фактури ...

Измамите с фалшиви фактури не са...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!