Nauja kenkėjiškų programų kampanija, žinoma kaip „Hiatus“, skirta smulkaus verslo maršrutizatoriams pavogti duomenis ir šnipinėti aukas.
Nauja „Hiatus“ kenkėjiškų programų kampanija atakuoja verslo maršrutizatorius
Nauja kenkėjiškų programų kampanija, pavadinta „Hiatus“, skirta smulkaus verslo maršrutizatoriams, naudojantiems HiatiusRAT kenkėjiškas programas.
2023 m. kovo 6 d. tyrimų įmonė „Lumen“ paskelbė tinklaraščio įrašą, kuriame aptariama ši kenkėjiška kampanija. Viduje Lumen tinklaraščio įrašas, buvo teigiama, kad „Lumen Black Lotus Labs® nustatė kitą, niekada anksčiau nematytą kampaniją, kurioje dalyvavo pažeisti maršrutizatoriai“.
HiatusRAT yra kenkėjiškų programų tipas, žinomas kaip a Nuotolinės prieigos Trojos arklys (RAT). Nuotolinės prieigos Trojos arklius naudoja kibernetiniai nusikaltėliai, norėdami gauti nuotolinę prieigą ir valdyti tikslinį įrenginį. Panašu, kad naujausia HiatusRAT kenkėjiškos programos versija buvo naudojama nuo 2022 m. liepos mėn.
„Lumen“ tinklaraščio įraše taip pat buvo teigiama, kad „HiatusRAT leidžia grėsmės veikėjui nuotoliniu būdu bendrauti su sistema, naudoja iš anksto sukurtas funkcijas – kai kurios iš jų labai neįprastos – kad pažeistą mašiną paverstų slaptu tarpiniu serveriu grėsmės veikėjas“.
Naudojant komandų eilutės įrankį „tcpdump“., HiatusRAT gali užfiksuoti tinklo srautą, einantį per tikslinį maršrutizatorių, leidžiantį pavogti duomenis. Lumenas taip pat spėliojo, kad su šia ataka susiję kenkėjiški operatoriai per ataką siekia sukurti slaptą tarpinio serverio tinklą.
„HiatusRAT“ orientuojasi į konkrečius maršrutizatorių tipus
Kenkėjiška programa HiatusRAT naudojama atakuoti nebenaudojamus DrayTek Vigor VPN maršrutizatorius, ypač 2690 ir 3900 modelius, kuriuose veikia i386 architektūra. Tai didelio pralaidumo maršruto parinktuvai, kuriuos įmonės naudoja nuotoliniams darbuotojams teikti VPN palaikymą.
Šiuos maršruto parinktuvų modelius dažniausiai naudoja mažų ir vidutinių įmonių savininkai, kuriems kyla ypatinga rizika, kad jie bus nukreipti šioje kampanijoje. Tyrėjai nežino, kaip šie „DrayTek Vigor“ maršrutizatoriai buvo įsiskverbę rašymo metu.
Vasario viduryje buvo nustatyta, kad daugiau nei 4 000 kompiuterių buvo pažeidžiami šios kenkėjiškų programų kampanijos, o tai reiškia, kad daugeliui įmonių vis dar gresia ataka.
Užpuolikai taikosi tik į keletą „DrayTek“ maršrutizatorių
Iš visų šiandien prie interneto prijungtų „DrayTek 2690“ ir „3900“ maršrutizatorių „Lumen“ pranešė, kad užsikrėtimo lygis yra tik 2 procentai.
Tai rodo, kad piktybiški operatoriai stengiasi sumažinti savo skaitmeninį pėdsaką, kad apribotų poveikį ir išvengtų aptikimo. Aukščiau minėtame tinklaraščio įraše Lumenas taip pat užsiminė, kad šią taktiką naudoja ir užpuolikai, siekdami „išlaikyti kritinius buvimo taškus“.
HiatusRAT kelia nuolatinę riziką
Rašymo metu HiatusRAT kelia pavojų daugeliui mažų įmonių, nes tūkstančiai maršrutizatorių vis dar susiduria su šia kenkėjiška programa. Laikas parodys, kiek DrayTek maršrutizatorių sėkmingai nutaikyta šioje kenkėjiškoje kampanijoje.
