Шпионират ли ви през вашия рутер?

Новият зловреден софтуер HiatusRAT се насочва към рутери от бизнес клас, за да шпионира тайно жертвите

Невиждан досега сложен зловреден софтуер е насочен към рутери от бизнес клас, за да шпионира тайно жертвите в Латинска Америка, Европа и Северна Америка поне от юли 2022 г.

Установено е, че неуловимата кампания, наречена Hiatus от Lumen Black Lotus Labs, разгръща два зловредни двоични файла – троянски кон за отдалечен достъп, наречен HiatusRAT, и вариант на tcpdump, който дава възможност за улавяне на пакети на целевото устройство.

„След като целевата система бъде заразена, HiatusRAT позволява на извършителя  да взаимодейства дистанционно със системата и използва предварително изградена функционалност […], за да превърне компрометираната машина в скрито прокси за извършителя „, се казва в доклад на компанията, споделен с The Hacker News.

„Бинарната програма за улавяне на пакети позволява на хакера да следи трафика на маршрутизатора на портове, свързани с комуникации за електронна поща и пренос на файлове.“

 

Клъстерът на заплахите е насочен предимно към излезлите от употреба модели 2960 и 3900 на рутера DrayTek Vigor, като към средата на февруари 2023 г. са компрометирани около 100 устройства, изложени на  интернет. Някои от засегнатите индустриални вертикали включват, наред с другото, фармацевтични продукти, ИТ услуги/консултантски фирми и общинска администрация.

Интересно е, че това представлява само малка част от 4100 маршрутизатора DrayTek 2960 и 3900, които са публично достъпни в интернет, което повишава вероятността „хакерът  умишлено да поддържа минимален отпечатък, за да ограничи излагането си на риск“.

Като се има предвид, че засегнатите устройства са рутери с висока пропускателна способност, които могат едновременно да поддържат стотици VPN връзки, се подозира, че целта е да се шпионират целите и да се създаде скрита прокси мрежа.

 

„Тези устройства обикновено се намират извън традиционния периметър за сигурност, което означава, че обикновено не се наблюдават или актуализират“, казва Марк Дехус, директор на отдела за разузнаване на заплахи в Lumen Black Lotus Labs. „Това помага на извършителя да установи и поддържа дългосрочна устойчивост без откриване.“

Точният първоначален вектор за достъп, използван при атаките, не е известен, но успешното проникване е последвано от разгръщане на bash скрипт, който изтегля и изпълнява HiatusRAT и двоичен файл за улавяне на пакети.

HiatusRAT е богат на функции и може да събира информация за маршрутизатора, изпълняваните процеси и да се свързва с отдалечен сървър, за да извлича файлове или да изпълнява произволни команди. Той също така може да прехвърля трафик за управление и контрол (C2) през маршрутизатора.

Използването на компрометирани маршрутизатори като прокси инфраструктура вероятно е опит за прикриване на операциите на C2, казват изследователите.

Констатациите идват повече от шест месеца след като Lumen Black Lotus Labs  хвърли светлина и върху несвързана кампания за зловреден софтуер, фокусирана върху рутери, която използва нов троянски кон, наречен ZuoRAT.

„Откриването на Hiatus потвърждава, че бандитите продължават да преследват експлоатирането на рутери“, каза Дехус. „Тези кампании показват необходимостта от защита на екосистемата на маршрутизаторите и те трябва да се наблюдават редовно, да се рестартират и актуализират, а излезлите от употреба устройства да се заменят.“

 

 

Източник: The Hacker News

Подобни публикации

20 март 2023

Хакерите са се насочвали предимно към уязвимост...

Хакерите продължават да се насочват към уязвимостите от типа „...
20 март 2023

Препоръки на CISA за домашните мрежи - част1

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА За да се предотв...
20 март 2023

Windows 11 ще иска разрешение, преди да закача ...

Microsoft съобщава, че ще предостави на разработчиците нов API, кой...
19 март 2023

Winter Vivern е насочена към индийски, източное...

АРТ групата, известна като Winter Vivern, е свързана с кампании, на...
18 март 2023

Измерване на ефективността на SOC

Компаниите трябва да измерват ефективността във всички области на д...
17 март 2023

(ISC)² с програма за 1 000 000 безплатни курсов...

Искате да видите  себе си в киберсигурността? Не ви е необходим опи...
17 март 2023

Поддръжката на Microsoft краква Windows на клие...

При неочакван обрат инженер по поддръжката на Microsoft прибягва до...
16 март 2023

Фалшиво ChatGPT разширение за Chrome отвлича ак...

Установено е, че фалшиво разширение за браузър Chrome с марката Cha...
Бъдете социални
Още по темата
19/03/2023

Winter Vivern е насочена къ...

АРТ групата, известна като Winter Vivern,...
15/03/2023

Федералната агенция на САЩ ...

Миналата година уеб сървърът на Microsoft...
11/03/2023

Нова версия на ботнета Prom...

Актуализирана версия на зловреден софтуер за...
Последно добавени
20/03/2023

Хакерите са се насочвали пр...

Хакерите продължават да се насочват към...
20/03/2023

Препоръки на CISA за домашн...

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА...
20/03/2023

Windows 11 ще иска разрешен...

Microsoft съобщава, че ще предостави на...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!