VPNFilter - VPNFilter

VPNFilter dır-dir kötü amaçlı yazılım enfekte etmek için tasarlanmış yönlendiriciler ve belirli ağa bağlı depolama aygıtları. 24 Mayıs 2018 itibariyle, risk altındaki cihazların sayısı daha fazla olmasına rağmen, dünya çapında yaklaşık 500.000 yönlendiriciye bulaştığı tahmin edilmektedir.[1] Verileri çalabilir, virüslü yönlendiriciyi komut üzerine devre dışı bırakmak için tasarlanmış bir "sonlandırma anahtarı" içerir ve kullanıcı yönlendiriciyi yeniden başlattığında kalıcı olabilir.[2] FBI Rus tarafından yaratıldığına inanıyor Fantezi Ayı grubu.[3][4]

Operasyon

VPNFilter, bir dizi farklı türden ağ yönlendiricisine ve depolama cihazına bulaşan kötü amaçlı yazılımdır. Kısmen, seri ağ cihazlarını kullanarak hedeflemek için tasarlanmış gibi görünüyor. Modbus fabrikalarda ve depolarda olduğu gibi endüstriyel donanımla konuşma ve kontrol protokolü. Kötü amaçlı yazılımın hedeflemek için özel, özel kodu vardır kontrol sistemleri kullanma SCADA.[5]

İlk enfeksiyon vektörü hala bilinmemektedir. Cisco Talos güvenlik grubu, kötü amaçlı yazılımın cihazları etkilemek için bilinen yönlendirici güvenlik açıklarından yararlandığını varsayıyor[6].

Bu yazılım, kendisini birden çok aşamada yükler:

  1. Aşama 1 şunları içerir: solucan bu, aygıtın crontab dosyasına kod ekler (görevlerin listesi tarafından düzenli aralıklarla çalıştırılan cron Linux'ta zamanlayıcı). Bu, yeniden başlatmanın ardından cihazda kalmasına ve çıkarılırsa sonraki aşamalarla yeniden enfekte etmesine izin verir. Aşama 1, Aşama 2 kötü amaçlı yazılımını bulmak ve yüklemek için bilinen URL'leri kullanır. Bu bilinen URL'ler devre dışı bırakılırsa, Aşama 1 cihazda bir soket dinleyicisi kurar ve komuta ve kontrol sistemleri tarafından iletişim kurulmasını bekler.[7]
  2. Aşama 2, tüm normal işlevleri yerine getiren ve özel, isteğe bağlı Aşama 3 modülleri tarafından talep edilen tüm talimatları yürüten temel kod dahil olmak üzere kötü amaçlı yazılımın gövdesidir.
  3. Aşama 3, kötü amaçlı yazılımlara endüstriyel kontrol cihazlarında casusluk (Modbus SCADA) veya anonimlik ağı kullanma gibi belirli şeyler yapmasını söyleyen çeşitli "modüllerden" herhangi biri olabilir. Tor şifrelenmiş trafik kanalları üzerinden iletişim kurmak için protokol.[5]

Bu ne yapar

VPNFilter, ilk bulaşmadan sonra birden çok üçüncü aşama işlemi kullanır. VPNFilter'ın bu tür bir işlevi, koklamak virüslü aygıta bağlı bir ağdaki ağ verilerini ve kimlik bilgilerini, denetim denetimini ve verileri toplayın. Veriler daha sonra şifrelenir ve Tor ağ.

Ayrıca, sonraki saldırıların kaynağını gizlemek için bir röle noktası görevi görebilir.

Azaltma

Her ikisi de Cisco ve Symantec etkilenen cihazlara sahip olan kişilerin fabrika ayarları. Bu, tipik olarak, düzleştirilmiş ataç gibi küçük, sivri uçlu bir nesne kullanarak, ünitenin arkasındaki küçük sıfırlama düğmesine 10 ila 30 saniye (süre modele göre değişir) basarak gerçekleştirilir. Bu, kötü amaçlı yazılımı kaldıracak, ancak aynı zamanda yönlendiriciyi tüm orijinal ayarlara geri yükleyecektir. Yönlendiricide uzaktan yönetim etkinleştirilmişse, fabrika ayarlarına sıfırlama genellikle bunu devre dışı bırakır (birçok yönlendiricinin varsayılan ayarı). Uzaktan yönetimin, ilk saldırı için olası bir vektör olduğu düşünülmektedir.

Fabrika ayarlarına sıfırlanan yönlendiriciyi tekrar internete bağlamadan önce, yeniden bulaşmayı önlemek için cihazın varsayılan şifreleri değiştirilmelidir.[8].

Risk altındaki cihazlar

VPNFilter'ı yükleyen ilk solucan, yalnızca aşağıdakilere dayalı olarak yerleşik ürün yazılımı çalıştıran cihazlara saldırabilir. Meşgul kutusu açık Linux yalnızca belirli işlemciler için derlenmiştir. Bu, iş istasyonları ve sunucular gibi gömülü olmayan Linux aygıtlarını içermez.[9]

Aşağıdaki yönlendirici modellerinde üretici tarafından sağlanan ürün yazılımının risk altında olduğu bilinmektedir:[10][7]

Asus
RT-AX92U
RT-AC66U
RT-N10
RT-N10E
RT-N10U
RT-N56U
RT-N66U
D-Link
DES-1210-08P
DIR-300
DIR-300A
DSR-250N
DSR-500N
DSR-1000
DSR-1000N
Huawei
HG8245
Linksys
E1200
E2500
E3000
E3200
E4200
RV082
WRVS4400N
Mikrotik
CCR1009
CCR1016
CCR1036
CCR1072
CRS109
CRS112
CRS125
RB411
RB450
RB750
RB911
RB921
RB941
RB951
RB952
RB960
RB962
RB1100
RB1200
RB2011
RB3011
RB Oluk
RB Omnitik
STX5
Mikrotik RouterOS sürümleri mevcut durumda 6.38.5'e veya bugfix sürüm zincirlerinde 6.37.5'e kadar[11]
Netgear
DG834
DGN1000
DGN2200
DGN3500
FVS318N
MBRN3000
R6400
R7000
R8000
WNR1000
WNR2000
WNR2200
WNR4000
WNDR3700
WNDR4000
WNDR4300
WNDR4300-TN
UTM50
QNAP
TS251
TS439 Pro
QTS yazılımı çalıştıran diğer QNAP NAS cihazları
TP-Link
R600VPN
TL-WR741ND
TL-WR841N
Ubiquiti
NSM2
PBE M5
Yükselt
Bilinmeyen Modeller [nb 1]
ZTE
ZXHN H108N

Epidemiyoloji

VPNFilter, Cisco Talos tarafından dünya çapında 500.000 cihaza bulaşmış olarak tanımlanmaktadır.[9] belki 54 farklı ülkede, orantılı olarak odak noktası Ukrayna.

FBI soruşturması

FBI, bu kötü amaçlı yazılımın ele alınmasında yüksek profilli bir rol üstlendi ve görünüşte kötü amaçlı yazılımın 1. aşamasından sorguları yeniden yönlendirmek için kullanıldığı için toknowall.com etki alanı adının ele geçirilmesiyle sonuçlanan bir soruşturma yürüttü. 2. ve 3. aşamaların kopyaları.[4] ABD Adalet Bakanlığı ayrıca Photobucket sitesini, 2. Aşama kötü amaçlı yazılımları dağıtmak için kullanılan bilinen URL'leri devre dışı bırakmaya zorladı.[6][12]

Enfeksiyonun giderilmesine ilişkin FBI tavsiyesi

25 Mayıs 2018'de FBI, kullanıcıların yeniden başlatmak risk altındaki cihazları.[13] Bu, kötü amaçlı yazılımın 2. ve 3. aşamalarını geçici olarak kaldırır. Aşama 1 kalır ve yönlendiricinin yükü yeniden indirmeyi denemesine ve yönlendiriciye tekrar bulaşmasına neden olur. Ancak, tavsiyeden önce ABD Adalet Bakanlığı, kötü amaçlı yazılımın 2. Aşama kurulumu için kullandığı web uç noktalarını ele geçirdi.

Bu URL'ler olmadan kötü amaçlı yazılım, Aşama 2 yüklemesi için yedek soket dinleyicisine güvenmelidir. Bu yöntem, tehdit aktörü komuta ve kontrol sistemlerinin Aşama 2'yi kurmak için her sistemle iletişim kurmasını gerektirir ve tehdit aktörünün tespit edilme riskini artırır.[6] FBI ayrıca kullanıcılara, cihazlarında uzaktan yönetimi devre dışı bırakmalarını ve aygıt yazılımını güncellemelerini tavsiye etti. Aygıt yazılımı güncellemesi, kötü amaçlı yazılımın tüm aşamalarını ortadan kaldırır, ancak aygıtın yeniden etkilenmesi olasıdır.[13]

FBI, bunun, yükü dağıtan sunucuları bulmalarına yardımcı olacağını söyledi.[14][15][3]

Notlar

  1. ^ Bir satıcı olarak Upvel'i hedefleyen kötü amaçlı yazılım keşfedildi, ancak biz[DSÖ? ] hangi belirli cihazı hedeflediğini belirleyemiyor.

Referanslar

  1. ^ "VPNFilter Güncellemesi ve İlk Zirve Özetlerimiz". Cisco Talos Intelligence. 2018-06-21. Alındı 2018-06-26.
  2. ^ "VPNFilter eyalete bağlı kötü amaçlı yazılım, yönlendiriciler için ölümcül tehdit oluşturur". SlashGear. 2018-05-24. Alındı 2018-05-31.
  3. ^ a b Kevin Poulsen (23 Mayıs 2018). "Özel: FBI, Rus Botnet'in Kontrolünü Ele Geçirdi". Daily Beast.
  4. ^ a b FBI'dan tüm yönlendirici kullanıcılarına: Rusya'nın VPNFilter kötü amaçlı yazılımını etkisiz hale getirmek için şimdi yeniden başlatın
  5. ^ a b VPNFilter: Yıkıcı Yeteneklere Sahip Yeni Yönlendirici Kötü Amaçlı Yazılım
  6. ^ a b c "VPNFilter, Filtrelenmemiş Hikaye". Talos. 2018-05-29. Alındı 2018-06-26.
  7. ^ a b William Largent (6 Haziran 2018). "VPNFilter Güncellemesi - VPNFilter uç noktalardan yararlanır, yeni cihazları hedefler".
  8. ^ "Bazı NETGEAR Cihazlarında VPNFilter Kötü Amaçlı Yazılım için Güvenlik Önerisi". Netgear. 2018-06-06. Alındı 2018-06-26.
  9. ^ a b "Bilgisayar korsanları, tüm dünyada 500.000 tüketici yönlendiricisine kötü amaçlı yazılım bulaştırıyor". Ars Technica. Alındı 2018-05-31.
  10. ^ "VPNFilter: Yıkıcı Yeteneklere Sahip Yeni Yönlendirici Kötü Amaçlı Yazılım". Alındı 2018-05-31.
  11. ^ "VPNfilter resmi bildirimi - MikroTik". forum.mikrotik.com. Alındı 2018-05-31.
  12. ^ "BİR ELEME GARANTİSİ İÇİN BİR UYGULAMAYI DESTEKLENEN AFFIDAVIT". 22 Mayıs 2018.
  13. ^ a b "YABANCI SİBER AKTÖRLER HEDEF EV VE OFİS YÖNLENDİRİCİLERİ VE DÜNYA ÇAPINDA AĞA BAĞLI CİHAZLAR". 25 Mayıs 2018.
  14. ^ Dan Goodin (25 Mayıs 2018). "FBI, yönlendirici kullanıcılarına 500 bin cihaza bulaşan kötü amaçlı yazılımları öldürmek için şimdi yeniden başlatmalarını söylüyor". Ars Technica.
  15. ^ Dan Goodin (24 Mayıs 2018). "Bilgisayar korsanları, tüm dünyada 500.000 tüketici yönlendiricisine kötü amaçlı yazılım bulaştırıyor". Ars Technica.