Невиданное ранее сложное вредоносное ПО нацелено на маршрутизаторы бизнес-класса DrayTek для тайного шпионажа за жертвами в Европе, а также Латинской и Северной Америке. Вредонос “в ходу” как минимум с июля 2022 года.
Вредоносная кампания, которой исследователи из Black Lotus Labs (подразделение компании Lumen) дали название Hiatus, развёртывает два вредоносных двоичных файла: троян удаленного доступа (RAT), получивший название HiatusRAT, и вариацию tcpdump, позволяющую перехватывать пакеты на целевом устройстве.
“После того как целевая система заражена, HiatusRAT позволяет злоумышленнику удаленно взаимодействовать с системой и использует встроенную функциональность для преобразования скомпрометированной машины в скрытый прокси для злоумышленника”, – говорится в отчётекомпании Lumen.
“Двоичный файл захвата пакетов позволяет хакерам отслеживать трафик маршрутизатора на портах, связанных с электронной почтой и передачей файлов”.
Вредоносная кампания направлена в первую очередь на модели маршрутизаторов DrayTek Vigor с истекшим сроком поддержки (EoL) 2960 и 3900. По состоянию на середину февраля этого года было скомпрометировано около 100 устройств, подключенных к Интернету. Некоторые из затронутых отраслевых вертикалей включают фармацевтику, IT-услуги, муниципальные органы власти и т.п.
Интересно, что это лишь небольшая часть из более чем 4 тысяч маршрутизаторов DrayTek 2960 и 3900, которые находятся в открытом интернет-доступе. Учитывая, что затронутые устройства представляют собой маршрутизаторы с высокой пропускной способностью, которые могут одновременно поддерживать сотни ” data-html=”true” data-original-title=”VPN” >VPN-соединений, есть подозрение, что целью является шпионаж за целями и создание скрытой прокси-сети.
HiatusRAT обладает широкими возможностями и может собирать информацию о маршрутизаторе, запущенных процессах, а также связываться с удаленным C2-сервером для получения файлов или выполнения произвольных команд.
“Обнаружение Hiatus подтверждает, что злоумышленники продолжают заниматься эксплуатацией маршрутизаторов. Эти кампании демонстрируют необходимость защиты экосистемы маршрутизаторов. Поэтому маршрутизаторы нужно регулярно контролировать, перезагружать и обновлять, а устройства с истекшим сроком службы следует заменять”, – завил один из специалистов Lumen Black Lotus Labs.