Эксперты компании Sekoia.io обнаружили активность хакерской группы ViciousTrap, которая превратила более 5500 сетевых устройств в распределённую сеть перехвата трафика. Злоумышленники атакуют маршрутизаторы, VPN-шлюзы, видеорегистраторы и контроллеры, чтобы следить за эксплуатацией уязвимостей и перехватывать данные.
Описание
Группа использует уязвимость CVE-2023-20118 в маршрутизаторах Cisco, чтобы загружать вредоносный скрипт NetGhost. Этот скрипт перенаправляет входящий трафик с портов 80, 8000 и 8080 на серверы злоумышленников, позволяя им перехватывать данные и анализировать попытки эксплуатации других уязвимостей.
Масштабы угрозы
- Более 50 брендов устройств, включая D-Link, Linksys, ASUS и QNAP, находятся под наблюдением.
- Основная масса заражённых устройств расположена в Азии, особенно в Макао, где распространены устаревшие маршрутизаторы D-Link.
- Атакующие серверы размещены в Малайзии и используют уникальные SSL-сертификаты для маскировки.
Цели атаки
- Исследователи предполагают, что злоумышленники стремятся:
- Собирать нулевые уязвимости, эксплуатируемые другими хакерами.
- Перехватывать учётные данные и данные жертв.
- Создать глобальную инфраструктуру для будущих атак.
Индикаторы компрометации
