ФБР сообщило о ликвидации ботнета Moobot, состоявшегося из сотен SOHO-маршрутизаторов. Американские власти связывают этот ботнет с группировкой APT28 и заявляют, что он использовался для проксирования вредоносного трафика, направленного фишинга и кражи учетных данных.
Ботнет состоял сотен маршрутизаторов Ubiquiti Edge OS, зараженных малварью Moobot, которую контролировала группировка APT28 (она же Fancy Bear, Forest Blizzard, Sednit). Сообщается, что целями хакеров были правительства США и других стран, военные организации, охранные и корпоративные структуры.
На взломанных роутерах Ubiquiti Edge OS ФБР обнаружило множество инструментов и артефактов, от Python-скриптов для сбора учетных данных для веб-почты и программ для кражи дайджестов NTLMv2, до кастомных правил маршрутизации, перенаправлявших фишинговый трафик в нужную инфраструктуру.
ФБР подчеркивает, что вредоносное ПО было удалено с зараженных устройств в рамках санкционированной судом операции Dying Ember. Так, правоохранители смогли получить удаленный доступ к роутерам, ликвидировать Moobot и стереть украденные и вредоносные файлы. Также к устройствам был заблокирован удаленный доступ, чтобы хакеры не могли заразить их повторно.
Отмечается, что теперь владельцы маршрутизаторов могут отменить внесенные ФБР изменения, сбросив устройства до заводских настроек или получив к ним доступ локально. Однако правоохранители предупреждают, что сброс настроек до заводских может подвергнуть девайсы риску повторного заражения.
Напомним, что в январе текущего года американские власти сообщали о ликвидации другого ботнета, связанного с китайской хак-группой Volt Typhoon. Этот ботнет так же состоял в основном из зараженных SOHO-роутеров и использовался уклонения от обнаружения во время атак, нацеленных на критическую инфраструктуру США.
