Специалисты Cisco Talos предупредили об обнаружении крупного ботнета, получившего название VPNFilter. Сложная малварь уже заразила как минимум полмиллиона роутеров Linksys, MikroTik, NETGEAR и TP-link, а также NAS производства QNAP в 54 странах мира. Исследователи подчеркивают, что VPNFilter – это вторая известная IoT-угроза, способная «пережить» перезагрузку зараженного устройства (первой недавно стала малварь Hide and Seek), к тому же таящая в себе деструктивную функциональность.

VPNFilter

Исследователи рассказывают, что операторы VPNFilter, судя по всему, не использовали для заражения устройств какие-либо 0-day уязвимости, а эксплуатировали различные известные баги, обнаруженные ранее. Список моделей устройств, на которых был обнаружен VPNFilter, опубликованный компанией Symantec, можно увидеть ниже.

• Linksys E1200;


• Linksys E2500;


• Linksys WRVS4400N;


• Mikrotik RouterOS для роутеров Cloud Core: версии 1016, 1036 и 1072;


• Netgear DGN2200;


• Netgear R6400;


• Netgear R7000;


• Netgear R8000;


• Netgear WNR1000;


• Netgear WNR2000;


• QNAP TS251;


• QNAP TS439 Pro;


• Другие устройства QNAP NAS, работающие под управлением QTS;


• TP-Link R600VPN.

Аналитики Cisco Talos пишут, что VPNFilter – одна из самых комплексных IoT-угроз, с какими им приходилось сталкиваться. Так, заражение делится на три стадии. Во время первой стадии бот VPNFilter прост и легковесен, его основная задача на этом этапе – инфицировать устройство и гарантировать устойчивое присутствие в системе. Как уже было сказано выше, ранее умение «переживать» перезагрузку IoT-девайсов демонстрировала только одна угроза — ботнет Hide and Seek. Стоит отметить, что по данным Symantec, избавиться от бота первой стадии все же возможно. Для этого потребуется произвести сброс устройства к заводским настройкам с последующей перезагрузкой.

Вторая стадия заражения, по мнению экспертов Cisco Talos, является наиболее опасной. Хотя сам бот второй стадии не способен выдержать перезагрузку устройства и, казалось бы, более безобиден, на самом деле это не так. В вопросах присутствия в системе бот второй стадии полагается на бота первой стадии. Фактически это означает, что даже если он будет удален с устройства из-за перезагрузки, то всегда сможет загрузиться повторно. Основной ролью бота второй стадии является подготовка к третьей фазе заражения.

Вместе с этим бот второй стадии обладает опасной функциональностью самоуничтожения, во время активации которой он перезаписывает критические части прошивки устройства и уводит его в перезагрузку. Аналитики предупреждают, что после этого зараженный гаджет превращается в бесполезный «кирпич» и не может загрузиться, так как необходимые для загрузки системы части прошивки подменяются случайным «мусором». По мнению специалистов Cisco Talos, после срабатывания функции самоуничтожения, большинство пользователей уже не сможет вернуть свои устройства в строй (за неимением необходимых технических знаний).

Третья фаза атаки подразумевает загрузку на зараженное устройство вредоносных плагинов. В настоящее время аналитики обнаружили три плагина, задача которых заключается сниффании сетевого трафика и перехвате пакетов, мониторинге протоколов Modbus SCADA, а также взаимодействии с управляющим сервером посредством Tor. Вероятнее всего, в запасе у операторов VPNFilter припасены и другие вредоносные модули, которые пока не были применены.

Таким образом, операторы VPNFilter способны совершать самые разные противоправные действия посредством своего ботнета. Они могут перехватывать трафик и учетные данные от закрытых сетей и систем; могут обнаруживать промышленное SCADA-оборудование и заражать его специализированной малварью; могут использовать зараженные устройства как обычный ботнет, скрывая за ним различные атаки; и наконец, могут попросту вывести из строя сотни тысяч устройств.

Атака на Украину?

Исследователи подчеркивают, что в последнее время VPNFilter очень активно заражает устройства на территории Украины (для украинских ботов даже был создан отдельный C