Новият зловреден софтуер HiatusRAT се насочва към рутери от бизнес клас, за да шпионира тайно жертвите

Невиждан досега сложен зловреден софтуер е насочен към рутери от бизнес клас, за да шпионира тайно жертвите в Латинска Америка, Европа и Северна Америка поне от юли 2022 г.

Установено е, че неуловимата кампания, наречена Hiatus от Lumen Black Lotus Labs, разгръща два зловредни двоични файла – троянски кон за отдалечен достъп, наречен HiatusRAT, и вариант на tcpdump, който дава възможност за улавяне на пакети на целевото устройство.

„След като целевата система бъде заразена, HiatusRAT позволява на извършителя  да взаимодейства дистанционно със системата и използва предварително изградена функционалност […], за да превърне компрометираната машина в скрито прокси за извършителя „, се казва в доклад на компанията, споделен с The Hacker News.

„Бинарната програма за улавяне на пакети позволява на хакера да следи трафика на маршрутизатора на портове, свързани с комуникации за електронна поща и пренос на файлове.“

Клъстерът на заплахите е насочен предимно към излезлите от употреба модели 2960 и 3900 на рутера DrayTek Vigor, като към средата на февруари 2023 г. са компрометирани около 100 устройства, изложени на  интернет. Някои от засегнатите индустриални вертикали включват, наред с другото, фармацевтични продукти, ИТ услуги/консултантски фирми и общинска администрация.

Интересно е, че това представлява само малка част от 4100 маршрутизатора DrayTek 2960 и 3900, които са публично достъпни в интернет, което повишава вероятността „хакерът  умишлено да поддържа минимален отпечатък, за да ограничи излагането си на риск“.

Като се има предвид, че засегнатите устройства са рутери с висока пропускателна способност, които могат едновременно да поддържат стотици VPN връзки, се подозира, че целта е да се шпионират целите и да се създаде скрита прокси мрежа.

„Тези устройства обикновено се намират извън традиционния периметър за сигурност, което означава, че обикновено не се наблюдават или актуализират“, казва Марк Дехус, директор на отдела за разузнаване на заплахи в Lumen Black Lotus Labs. „Това помага на извършителя да установи и поддържа дългосрочна устойчивост без откриване.“

Точният първоначален вектор за достъп, използван при атаките, не е известен, но успешното проникване е последвано от разгръщане на bash скрипт, който изтегля и изпълнява HiatusRAT и двоичен файл за улавяне на пакети.

HiatusRAT е богат на функции и може да събира информация за маршрутизатора, изпълняваните процеси и да се свързва с отдалечен сървър, за да извлича файлове или да изпълнява произволни команди. Той също така може да прехвърля трафик за управление и контрол (C2) през маршрутизатора.

Използването на компрометирани маршрутизатори като прокси инфраструктура вероятно е опит за прикриване на операциите на C2, казват изследователите.

Констатациите идват повече от шест месеца след като Lumen Black Lotus Labs  хвърли светлина и върху несвързана кампания за зловреден софтуер, фокусирана върху рутери, която използва нов троянски кон, наречен ZuoRAT.

„Откриването на Hiatus потвърждава, че бандитите продължават да преследват експлоатирането на рутери“, каза Дехус. „Тези кампании показват необходимостта от защита на екосистемата на маршрутизаторите и те трябва да се наблюдават редовно, да се рестартират и актуализират, а излезлите от употреба устройства да се заменят.“