По данным Fortinet, в настоящее время как минимум шесть ботнетов атакуют маршрутизаторы TP-Link Archer AX21 (AX1800), уязвимые перед проблемой CVE-2023-1389, позволяющей осуществлять инъекции команд без аутентификации.

Изначально уязвимость CVE-2023-1389 была обнаружена на хакерском соревновании Pwn2Own в декабре 2022 года. Хотя разработчики TP-Link устранили проблему в марте 2023 года, с релизом прошивки 1.1.4 Build 20230219, но вскоре после этого стало известно, что уязвимость уже используют хакеры. Сначала злоумышленники нацеливались на устройствах из Восточной Европы, а затем атаки распространились по всему миру.

Как теперь сообщают аналитики компании Fortinet, спустя год CVE-2023-1389 по-прежнему используется хакерами, так как большое количество пользователей все еще продолжает использовать устаревшую прошивку. В последнее время и вовсе наблюдается всплеск вредоносной активности, которая исходит сразу от шести ботнетов.

Так, согласно данным телеметрии Fortinet, начиная с марта 2024 года количество ежедневных попыток атак с использованием CVE-2023-1389 нередко превышает 40 000, а порой достигает 50 000.

«В последнее время мы наблюдали многочисленные атаки, направленные на эту уязвимость годичной давности, в частности ее эксплуатируют ботнеты Moobot, Miori, написанный на Go вредонос AGoent и вариант Gafgyt», — сообщают эксперты.

Отмечается, что каждый из этих ботнетов использует различные методы атак и скрипты для эксплуатации уязвимости, установления контроля над взломанными устройствами и последующего управления ими:

  • AGoent — загружает и выполняет скрипты, которые получают и запускают ELF-файлы с удаленного сервера, а затем стирает файлы, чтобы скрыть следы;
  • Вариация Gafgyt — специализируется на DDoS-атаках, загружая скрипты для выполнения бинарных файлов Linux и поддерживая постоянные соединения со своими C&C-серверами;
  • Moobot — занимается DDoS-атаками, получает и выполняет скрипт для загрузки ELF-файлов, выполняет их (в зависимости от архитектуры), а затем уничтожает следы своей активности;
  • Miori — использует HTTP и TFTP для загрузки ELF-файлов, выполняет их и использует жестко закодированные учетные данные для брутфорс-атак;
  • Вариация Mirai — загружает скрипт, который впоследствии получает ELF-файлы, сжатые с помощью UPX, прекращает работу инструментов для анализа пакетов, чтобы избежать обнаружения;
  • Condi — использует скрипт-загрузчик для повышения скорости заражения, предотвращает перезагрузку устройства ради сохранения присутствия в системе, а также обнаруживает и завершает определенные процессы, чтобы избежать обнаружения.
Учетные данные, которые использует Miori

Исследователи напоминают пользователям маршрутизаторов TP-Link Archer AX21 (AX1800) о необходимости следовать инструкциям производителя по обновлению прошивки, изменить стандартные пароли администратора на уникальные и сложные, а также отключить веб-доступ к панели управления, если он не нужен.

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    1 Комментарий
    Старые
    Новые Популярные
    Межтекстовые Отзывы
    Посмотреть все комментарии