Пока что вредонос нацелен на японский рынок маршрутизаторов, но вполне может добраться и до других стран.
В Японии зафиксированы атаки на Linux -роутеры с помощью нового трояна удалённого доступа GobRAT, написанного на языке Go. Об этом Для просмотра ссылки Войдиили Зарегистрируйся Центр координации компьютерного реагирования JPCERT в своём отчете, опубликованном сегодня.
Атакующие нацеливаются на роутеры, у которых веб-оболочка открыта для публичного доступа, и используют уязвимости для выполнения скриптов и заражения GobRAT. После компрометации роутера злоумышленники разворачивают скрипт-загрузчик, который доставляет GobRAT и запускает его под видом процесса Apache , чтобы избежать обнаружения.
Скрипт-загрузчик также обладает способностью отключать брандмауэры, устанавливать своё постоянство с помощью планировщика заданий cron и регистрировать публичный ключ SSH в файле «.ssh/authorized_keys» для удалённого доступа.
GobRAT, в свою очередь, общается с удалённым сервером по протоколу TLS и может получать различные зашифрованные команды для выполнения на целевом устройстве. Всего рассмотренный исследователями вредонос поддерживает 22 команды, среди которых, например:
JPCERT также Для просмотра ссылки Войдиили Зарегистрируйся на GitHub специальный инструмент для эмуляции C2-сервера GobRAT, который может помочь другим исследователям безопасности самостоятельно проанализировать вредонос.
Развитие подобных угроз лишь подчёркивает необходимость своевременного выявления вредоносных программ, поражающих интернет-роутеры, так как их потенциальный ущерб весьма серьёзен. В марте Для просмотра ссылки Войдиили Зарегистрируйся другую схожую киберугрозу под названием HiatusRAT, нацеленную на маршрутизаторы бизнес-класса DrayTek для тайного шпионажа за жертвами в Европе, а также Латинской и Северной Америке.
В Японии зафиксированы атаки на Linux -роутеры с помощью нового трояна удалённого доступа GobRAT, написанного на языке Go. Об этом Для просмотра ссылки Войди
Атакующие нацеливаются на роутеры, у которых веб-оболочка открыта для публичного доступа, и используют уязвимости для выполнения скриптов и заражения GobRAT. После компрометации роутера злоумышленники разворачивают скрипт-загрузчик, который доставляет GobRAT и запускает его под видом процесса Apache , чтобы избежать обнаружения.
Скрипт-загрузчик также обладает способностью отключать брандмауэры, устанавливать своё постоянство с помощью планировщика заданий cron и регистрировать публичный ключ SSH в файле «.ssh/authorized_keys» для удалённого доступа.
GobRAT, в свою очередь, общается с удалённым сервером по протоколу TLS и может получать различные зашифрованные команды для выполнения на целевом устройстве. Всего рассмотренный исследователями вредонос поддерживает 22 команды, среди которых, например:
- получение информации об устройстве;
- запуск обратной оболочки;
- чтение и запись файлов;
- конфигурация нового C2-сервера;
- запуск SOCKS5-прокси;
- выполнение файлов в каталоге «/zone/frpc»;
- попытка входа в службы sshd, Telnet, Redis, MySQL, PostgreSQL, работающие на других устройствах;
- запуск целенаправленных DDoS-атак.
JPCERT также Для просмотра ссылки Войди
Развитие подобных угроз лишь подчёркивает необходимость своевременного выявления вредоносных программ, поражающих интернет-роутеры, так как их потенциальный ущерб весьма серьёзен. В марте Для просмотра ссылки Войди
- Источник новости
- www.securitylab.ru