Зламыснікам атрымалася давесці магчымасць стварэння працоўных ботнет сетак на платформах выдатных ад Windows, захапіўшы кіраванне над прыкладна 100 тысячамі ADSL міні-маршрутызатараў, c заснаванай на Linux прашыўкай, і задзейнічаўшы іх у якасці адзінай ботнет сеткі для правядзення DDoS нападаў і рассыланні спаму. Захоп кіравання стаў магчымы з-за халатнасці вытворцаў абсталявання, якія дапусцілі магчымасць уваходу з тыпавым паролем на адчынены для вонкавай сеткі web-інтэрфейс або SSH/FTP/telnet порт. Асноўнай мэтай нападу з'яўляюцца ADSL мадэмы Netcomm NB5, якія працуюць пад кіраваннем Linux. Ботнет атрымаў назоў Psybot. Пасля падбору пароля і пранікненні на прыладу, вырабляецца загрузка ў адчыненую на запіс дырэкторыю /var/tmp файла udhcpc.env і яго запуск. udhcpc.env уяўляе сабой сціснуты ўніверсальны выкананы код (33 Кб) для Linux, адкампіляваны для платформы MIPSel, назоў файла падабранае для падабенства з тыпавым DHCP пакетам. Psybot падтрымлівае заражэнне прашывак OpenWRT і DD-WRT. Акрамя падбору пароля па SSH, FTP або telnet, маецца магчымасць пранікнення праз некарэктна наладжаныя версіі phpMyAdmin і MySQL. Кіраванне ботнетом ажыццяўляецца праз IRC. Бот падтрымлівае выкананне больш 30 кіраўнікоў каманд, сярод якіх запуск shell, сканаванне падсетак для пошуку ўразлівых хастоў, паводка зададзенага URL запытамі, абнаўленне шкоднаснага кода, запуск http-сервера, загрузка файлаў на машыну ахвяры, сканаванне партоў, адпраўка SYN, UDP або ICMP пакетаў. Карыстачам усіх міні-маршрутызатараў з адчыненымі ў па-за партамі 22, 23 і 80, настойліва рэкамендуецца абнавіць прашыўку і заблакаваць пакетным фільтрам доступ з вонкавай сеткі на вышэйпаказаныя парты.
Зафіксаваны першы ботнет з Linux-маршрутызатараў
25 сакавіка 2009
Каментароў (0)