Новый набор эксплоитов атакует роутеры

Эксперты компании Trend Micro рассказали о новом эксплоит-ките Novidade, чьей основной целью являются роутеры. По данным исследователей, угроза распространяется с помощью вредоносной рекламы, мессенджеров и внедряется в код скомпрометированных сайтов.

Вредоносная целевая страница осуществляет HTTP-запрос через функцию JavaScript Image, обращаясь к локальным IP-адресам из заранее подготовленного списка (это адреса, которые чаще всего используют роутеры). Если удается установить соединение, Novidade пытается залогиниться, используя учетные данные по умолчанию, а также атакует обнаруженный IP и роутер различными эксплоитами из своего арсенала.

Схема работы Novidade

Также Novidade задействует против уязвимых устройств атаки CSRF (cross-site request forgery), стремясь изменить настройки DNS роутера (прописав в них вредоносный сервер) и перенаправить трафик со всех устройств жертвы в руки злоумышленников.

Первые образцы Novidade были замечены еще в августе 2017 года, и с тех пор исследователи нашли еще две вариации. Одна из них, по данным экспертов, использовалась во время недавней вредоносной кампании GhostDNS.

Эксперты предупреждают, что парой кампаний дело, скорее всего, не ограничивается, так как исходные коды малвари могли быть проданы нескольких хак-группам, или попросту утекли в открытый доступ, что позволило разным злоумышленникам создать свои версии.

Если изначально Novidade применялся против пользователей из Бразилии и использовался для хищения банковских учтенных данных (крупнейшая атака такого рода была замечена в марте 2018 года, и набор эксплоитов был задействован более 24 млн раз), то теперь специалисты фиксируют расширение области атак и полагают, что экплоит-кит могли взять на вооружение и разные преступники.

Различные версии набора эксплоитов могут представлять опасность для следующих устройств и эксплуатировать следующие баги:

  • A-Link WL54AP3 / WL54AP2 (CVE-2008-6823)
  • D-Link DSL-2740R
  • D-Link DIR 905L
  • Medialink MWN-WAPR300 (CVE-2015-5996)
  • Motorola SBG6580
  • Realtron
  • Roteador GWR-120
  • Secutech RiS-11/RiS-22/RiS-33 (CVE-2018-10080)
  • TP-Link TL-WR340G / TL-WR340GD
  • TP-Link WR1043ND V1 (CVE-2013-2645)

Исследователи пишут, что версии Novidade существенно отличаются друг от друга. К примеру, более новые вариации используют короткие URL для сбора статистики, задействуют запросы WebRTC STUN и имеют более серьезную обфускацию. Таблицу различий можно увидеть ниже.

Версия 1 Версия 2 Версия 3
CSRF-атаки на роутеры X X X
Обнаружение внешних IP-адресов X
Динамическая JavaScript обфускация X X
WebRTC STUN запросы X
Короткие URL для сбора статистики X
Файловая структура index2.html
api.ipaddress.php
api.init.php
index.php
index2.php
api.init.php
index.php
addon.js
inc.php
Список сканируемых локальных IP 10.0.0.1
10.0.0.2
10.0.0.3
10.1.1.1
10.0.0.138
192.168.0.1
192.168.1.1
192.168.1.2
192.168.1.254
192.168.2.1
192.168.25.1
192.168.100.1
192.168.254.254
10.0.0.1
192.168.0.1
192.168.1.1
192.168.2.1
192.168.15.1
192.168.25.1
192.168.100.1
10.0.0.1
192.168.0.1
192.168.1.1
192.168.2.1
192.168.5.248
192.168.15.1
192.168.25.1
192.168.100.1

Мария Нефёдова: Блондинка, гик, книжный червь, синефил. Редактор ленты новостей; иногда автор Сцены.

Комментарии (1)

  • Ну не страшная малварь. Уязвимых роутеров из списка можно в России пересчитать по пальцам одной руки. Я вообще не боюсь - все обородование на альтернативных прошивках, совершенно других диапазонах IP, и естественно никаких дефолтных паролей и даже портов.