Эксперты обнаружили новый троян, способный взаимодействовать с широким
спектром устройств, подключенных к локальной сети. Эксплоит перенаправляет на
вредоносные сайты даже тех пользователей, чьи машины хорошо защищены и полностью
пропатчены, причем касается это не только компьютеров под управлением ОС Windows.
Троян представляет собой новую разновидность DNSChanger, известного своей
способностью изменять настройки DNS на различных системах, в том числе – Mac. По
информации McAfee, одна зараженная трояном машина способна инфицировать сотни
компьютеров из той же локальной сети, изменив на них DHCP настройки.
Примерный сценарий проведения атаки выглядит так:
- Зараженный трояном компьютер подключается к публичной точке доступа
Wi-Fi или к корпоративной локальной сети. - К этой же сети подключается еще один человек, полностью пропатченный
компьютер которого под управлением ОС Linux посылает запрос на присвоение
IP-адреса. - Зараженный компьютер посылает команду DHCP, при помощи которой
инструктирует вновь подключенную машину осуществлять маршрутизацию запросов
через подставной DNS-сервер. - Владелец компьютера под управлением Linux больше не может доверять тем
сайтам, адреса которых набирает в адресной строке своего браузера. Даже если
в этой строке значится bankofamerica.com, реальным адресом будет адрес
вредоносного сайта.
Единственный способ предотвратить атаку – вручную задать настройки DNS на
своем компьютере. Поскольку троян не использует каких-то конкретных уязвимостей,
присущих ограниченному кругу машин, возможности его распространения довольно
широки. Троян устанавливает в систему драйвер ndisprot.sys, который осуществляет
мониторинг сетевого трафика на предмет DHCP-запросов, перехватывает их и
подменяет IP-адресом фиктивного сервера.
