Търсене
Close this search box.

Шпионират ли ви през вашия рутер?

Новият зловреден софтуер HiatusRAT се насочва към рутери от бизнес клас, за да шпионира тайно жертвите

Невиждан досега сложен зловреден софтуер е насочен към рутери от бизнес клас, за да шпионира тайно жертвите в Латинска Америка, Европа и Северна Америка поне от юли 2022 г.

Установено е, че неуловимата кампания, наречена Hiatus от Lumen Black Lotus Labs, разгръща два зловредни двоични файла – троянски кон за отдалечен достъп, наречен HiatusRAT, и вариант на tcpdump, който дава възможност за улавяне на пакети на целевото устройство.

„След като целевата система бъде заразена, HiatusRAT позволява на извършителя  да взаимодейства дистанционно със системата и използва предварително изградена функционалност […], за да превърне компрометираната машина в скрито прокси за извършителя „, се казва в доклад на компанията, споделен с The Hacker News.

„Бинарната програма за улавяне на пакети позволява на хакера да следи трафика на маршрутизатора на портове, свързани с комуникации за електронна поща и пренос на файлове.“

 

Клъстерът на заплахите е насочен предимно към излезлите от употреба модели 2960 и 3900 на рутера DrayTek Vigor, като към средата на февруари 2023 г. са компрометирани около 100 устройства, изложени на  интернет. Някои от засегнатите индустриални вертикали включват, наред с другото, фармацевтични продукти, ИТ услуги/консултантски фирми и общинска администрация.

Интересно е, че това представлява само малка част от 4100 маршрутизатора DrayTek 2960 и 3900, които са публично достъпни в интернет, което повишава вероятността „хакерът  умишлено да поддържа минимален отпечатък, за да ограничи излагането си на риск“.

Като се има предвид, че засегнатите устройства са рутери с висока пропускателна способност, които могат едновременно да поддържат стотици VPN връзки, се подозира, че целта е да се шпионират целите и да се създаде скрита прокси мрежа.

 

„Тези устройства обикновено се намират извън традиционния периметър за сигурност, което означава, че обикновено не се наблюдават или актуализират“, казва Марк Дехус, директор на отдела за разузнаване на заплахи в Lumen Black Lotus Labs. „Това помага на извършителя да установи и поддържа дългосрочна устойчивост без откриване.“

Точният първоначален вектор за достъп, използван при атаките, не е известен, но успешното проникване е последвано от разгръщане на bash скрипт, който изтегля и изпълнява HiatusRAT и двоичен файл за улавяне на пакети.

HiatusRAT е богат на функции и може да събира информация за маршрутизатора, изпълняваните процеси и да се свързва с отдалечен сървър, за да извлича файлове или да изпълнява произволни команди. Той също така може да прехвърля трафик за управление и контрол (C2) през маршрутизатора.

Използването на компрометирани маршрутизатори като прокси инфраструктура вероятно е опит за прикриване на операциите на C2, казват изследователите.

Констатациите идват повече от шест месеца след като Lumen Black Lotus Labs  хвърли светлина и върху несвързана кампания за зловреден софтуер, фокусирана върху рутери, която използва нов троянски кон, наречен ZuoRAT.

„Откриването на Hiatus потвърждава, че бандитите продължават да преследват експлоатирането на рутери“, каза Дехус. „Тези кампании показват необходимостта от защита на екосистемата на маршрутизаторите и те трябва да се наблюдават редовно, да се рестартират и актуализират, а излезлите от употреба устройства да се заменят.“

 

 

Източник: The Hacker News

Подобни публикации

30 май 2024

OmniVision призна за атака с рансъмуер

Гигантът в областта на производството на полупроводници OmniVision ...
29 май 2024

Пуснат е експлойт за FortiSIEM с максимална тежест

Изследователи в областта на сигурността публикуваха доказателство з...
29 май 2024

Операторът на NYSE Intercontinental Exchange по...

Миналата сряда Комисията по ценните книжа и фондовите борси на САЩ ...
29 май 2024

Рутерът за игри TP-Link Archer C5400X е уязвим

Рутерът за игри TP-Link Archer C5400X е уязвим към пропуски в сигур...
29 май 2024

Christie's потвърждава пробив от RansomHub

Christie’s потвърди, че е претърпяла инцидент със сигурността...
28 май 2024

Потребителите на блокери на реклами имат пробле...

Много потребители съобщават, че видеоклиповете в YouTube автоматичн...
28 май 2024

VMware е била използвана в неотдавнашната хакер...

MITRE сподели информация за това как свързаните с Китай хакери са и...
Бъдете социални
Още по темата
28/05/2024

Хакерите се насочват към VP...

Заплахите се насочват към VPN устройствата...
27/05/2024

Атаките от типа "нулев ден"...

Атаките от типа „нулев ден“ продължават...
25/05/2024

Хакери избягаха с 3 000 гал...

Почти всеки ден новинарските агенции съобщават...
Последно добавени
30/05/2024

OmniVision призна за атака ...

Гигантът в областта на производството на...
29/05/2024

Пуснат е експлойт за FortiS...

Изследователи в областта на сигурността публикуваха...
29/05/2024

Операторът на NYSE Intercon...

Миналата сряда Комисията по ценните книжа...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!