Новый набор эксплойтов атакует роутеры

Угрозы нулевого дня, вспышки эпидемий и всё, что ещё не изучено.
Ответить
Аватара пользователя
HADD-NEELS
Сообщения: 22782
Зарегистрирован: 12 окт 2016, 18:17

Новый набор эксплойтов атакует роутеры

Сообщение HADD-NEELS »

Новый набор эксплойтов атакует роутеры
Эксперты компании Trend Micro рассказали о новом эксплоит-ките Novidade, чьей основной целью являются роутеры. По данным исследователей, угроза распространяется с помощью вредоносной рекламы, мессенджеров и внедряется в код скомпрометированных сайтов.

Вредоносная целевая страница осуществляет HTTP-запрос через функцию JavaScript Image, обращаясь к локальным IP-адресам из заранее подготовленного списка (это адреса, которые чаще всего используют роутеры). Если удается установить соединение, Novidade пытается залогиниться, используя учетные данные по умолчанию, а также атакует обнаруженный IP и роутер различными эксплоитами из своего арсенала.


[IMG]https://xakep.ru/wp-content/uploads/2018/12/198510/novidade-1-1024x859.png#26759185[/IMG]Схема работы Novidade

Также Novidade задействует против уязвимых устройств атаки CSRF (cross-site request forgery), стремясь изменить настройки DNS роутера (прописав в них вредоносный сервер) и перенаправить трафик со всех устройств жертвы в руки злоумышленников.

Первые образцы Novidade были замечены еще в августе 2017 года, и с тех пор исследователи нашли еще две вариации. Одна из них, по данным экспертов, использовалась во время недавней вредоносной кампании GhostDNS.

Эксперты предупреждают, что парой кампаний дело, скорее всего, не ограничивается, так как исходные коды малвари могли быть проданы нескольких хак-группам, или попросту утекли в открытый доступ, что позволило разным злоумышленникам создать свои версии.

Если изначально Novidade применялся против пользователей из Бразилии и использовался для хищения банковских учтенных данных (крупнейшая атака такого рода была замечена в марте 2018 года, и набор эксплоитов был задействован более 24 млн раз), то теперь специалисты фиксируют расширение области атак и полагают, что экплоит-кит могли взять на вооружение и разные преступники.

Различные версии набора эксплоитов могут представлять опасность для следующих устройств и эксплуатировать следующие баги:
  • A-Link WL54AP3 / WL54AP2 (CVE-2008-6823)
  • D-Link DSL-2740R
  • D-Link DIR 905L
  • Medialink MWN-WAPR300 (CVE-2015-5996)
  • Motorola SBG6580
  • Realtron
  • Roteador GWR-120
  • Secutech RiS-11/RiS-22/RiS-33 (CVE-2018-10080)
  • TP-Link TL-WR340G / TL-WR340GD
  • TP-Link WR1043ND V1 (CVE-2013-2645)
Исследователи пишут, что версии Novidade существенно отличаются друг от друга. К примеру, более новые вариации используют короткие URL для сбора статистики, задействуют запросы WebRTC STUN и имеют более серьезную обфускацию. Таблицу различий можно увидеть ниже.

Версия 1Версия 2Версия 3CSRF-атаки на роутерыXXXОбнаружение внешних IP-адресовXДинамическая JavaScript обфускацияXXWebRTC STUN запросыXКороткие URL для сбора статистикиXФайловая структураindex2.html

api.ipaddress.php
api.init.phpindex.php
index2.php
api.init.phpindex.php
addon.js
inc.php

Список сканируемых локальных IP10.0.0.1
10.0.0.2
10.0.0.3
10.1.1.1
10.0.0.138
192.168.0.1
192.168.1.1
192.168.1.2
192.168.1.254
192.168.2.1
192.168.25.1
192.168.100.1
192.168.254.25410.0.0.1
192.168.0.1
192.168.1.1
192.168.2.1
192.168.15.1
192.168.25.1
192.168
https://xakep.ru/2018/12/12/novidade/
Ответить

Вернуться в «Новости угроз безопасности»