Новый набор эксплоитов атакует роутеры

Новый набор эксплоитов атакует роутеры

Эксперты компании Trend Micro рассказали о новом эксплоит-ките Novidade, чьей основной целью являются роутеры. По данным исследователей, угроза распространяется с помощью вредоносной рекламы, мессенджеров и внедряется в код скомпрометированных сайтов.

Вредоносная целевая страница осуществляет HTTP-запрос через функцию JavaScript Image, обращаясь к локальным IP-адресам из заранее подготовленного списка (это адреса, которые чаще всего используют роутеры). Если удается установить соединение, Novidade пытается залогиниться, используя учетные данные по умолчанию, а также атакует обнаруженный IP и роутер различными эксплоитами из своего арсенала.

Также Novidade задействует против уязвимых устройств атаки CSRF (cross-site request forgery), стремясь изменить настройки DNS роутера (прописав в них вредоносный сервер) и перенаправить трафик со всех устройств жертвы в руки злоумышленников.

Первые образцы Novidade были замечены еще в августе 2017 года, и с тех пор исследователи нашли еще две вариации. Одна из них, по данным экспертов, использовалась во время недавней вредоносной кампании GhostDNS.

Эксперты предупреждают, что парой кампаний дело, скорее всего, не ограничивается, так как исходные коды малвари могли быть проданы нескольких хак-группам, или попросту утекли в открытый доступ, что позволило разным злоумышленникам создать свои версии.

Если изначально Novidade применялся против пользователей из Бразилии и использовался для хищения банковских учтенных данных (крупнейшая атака такого рода была замечена в марте 2018 года, и набор эксплоитов был задействован более 24 млн раз), то теперь специалисты фиксируют расширение области атак и полагают, что экплоит-кит могли взять на вооружение и разные преступники.

Различные версии набора эксплоитов могут представлять опасность для следующих устройств и эксплуатировать следующие баги:

• A-Link WL54AP3 / WL54AP2 (CVE-2008-6823)

• D-Link DSL-2740R

• D-Link DIR 905L

• Medialink MWN-WAPR300 (CVE-2015-5996)

• Motorola SBG6580

• Realtron

• Roteador GWR-120

• Secutech RiS-11/RiS-22/RiS-33 (CVE-2018-10080)

• TP-Link TL-WR340G / TL-WR340GD

• TP-Link WR1043ND V1 (CVE-2013-2645)

Исследователи пишут, что версии Novidade существенно отличаются друг от друга. К примеру, более новые вариации используют короткие URL для сбора статистики, задействуют запросы WebRTC STUN и имеют более серьезную обфускацию.

Хакер