Matrix APT IOCs - SEC-1275-1

Исследователи Aqua Nautilus обнаружили новую кампанию распределенного отказа в обслуживании (DDoS), организованную злоумышленником по имени Matrix. Эта кампания является широкомасштабной и показывает, что даже с минимальными техническими знаниями и доступными инструментами можно провести масштабные кибератаки. Matrix использует уязвимости и неправильную конфигурацию подключенных к Интернету устройств, таких как IoT и корпоративные системы. Он создает ботнет с помощью публичных скриптов, брутфорс атак и слабых учетных данных.

Matrix APT

Исследователи отмечают, что эта операция демонстрирует эволюцию угроз, когда даже скрипт-кидди может использовать инструменты с открытым исходным кодом для проведения сложных атак.

Ключевые выводы из исследования:

Эта кампания показывает, как доступные инструменты и минимальные технические знания могут обеспечить крупномасштабные кибератаки.
Matrix может организовать глобальную атаку, демонстрируя растущую тенденцию среди злоумышленников.
Скрипт-кидди представляют более серьезную угрозу с появлением искусственного интеллекта и готовых хакерских инструментов.
Целью атак Matrix была финансовая выгода, а не политические или патриотические цели.
Злоумышленники активно атакуют серверы разработки программного обеспечения и производственные серверы, что свидетельствует о растущем интересе к использованию корпоративных уязвимостей и неправильных конфигураций для DDoS-активности.

Исследователи также обнаружили основные методы этой кампании, включая использование уязвимостей маршрутизаторов, эксплойты для видеорегистраторов и камер, атаки на телекоммуникационное оборудование и IoT-устройства, а также уязвимости в программных системах, таких как Apache Hadoop YARN и HugeGraph. Злоумышленники в основном используют общие учетные данные по умолчанию, чтобы получить доступ к устройствам, а после взлома они проводят дальнейшие атаки, включая DDoS.

Эксплуатируемые уязвимости

CVE-2024-27348: Эксплуатация уязвимости в Apache HugeGraph Server, в частности, гипотетической, которая может позволить удаленное выполнение кода (RCE) через конечную точку сервера Gremlin.
CVE-2022-30525: Уязвимость инъекции команд ОС в программе CGI прошивки Zyxel USG FLEX 100(W).
CVE-2022-30075: данное CVE затрагивает определенные маршрутизаторы TP-Link, позволяя неаутентифицированным пользователям манипулировать параметрами конфигурации, потенциально внедряя команды.
CVE-2018-10562: Эта уязвимость позволяет внедрять команды на маршрутизаторах GPON (Gigabit-capable Passive Optical Networks), использующих веб-сервер Boa, через административный интерфейс веб-сервера Boa. Внедряя команды через определенные параметры, злоумышленники могут выполнить произвольные команды на базовой операционной системе с привилегиями root, что позволит им получить контроль над устройством.
CVE-2018-10561: Эта уязвимость позволяет злоумышленникам обойти аутентификацию на маршрутизаторах GPON (Gigabit-capable Passive Optical Networks), использующих веб-сервер Boa, путем добавления определенных параметров к URL-адресу. Это позволяет получить несанкционированный доступ к важным страницам и административным функциям веб-интерфейса маршрутизатора, таким как страницы конфигурации, из-за небезопасных механизмов управления доступом.
CVE-2018-9995: нацелен на цифровые видеорегистраторы (DVR) для использования слабых мест в некоторых DVR-устройствах, использующих платформу Hi3520. В коде наблюдаются HTTP-запросы к конечным точкам типа /dvr/cmd без предварительной аутентификации.
CVE-2017-18368: Уязвимость инъекции команд в маршрутизаторах ZTE, когда злоумышленники могут эксплуатировать конечные точки, подобные приведенным выше, используя их для инъекции вредоносных команд и получения контроля над устройством.
CVE-2017-17215: Уязвимость удаленного выполнения кода, затрагивающая некоторые маршрутизаторы Huawei. Эта уязвимость позволяет злоумышленникам использовать недостаток инъекции команд в функциональности DeviceUpgrade, отправляя специально созданные запросы к конечной точке /ctrlt/DeviceUpgrade_1 на порт 37215.
CVE-2017-17106: Учетные данные для веб-камер Zivif PR115-204-P-RS V2.3.4.2103 могут быть получены неаутентифицированным удаленным злоумышленником с помощью стандартного HTTP-запроса web /cgi-bin/hi3510/param.cgi?cmd=getuser. Уязвимость существует из-за отсутствия проверок аутентификации в запросах к CGI-страницам.
CVE-2014-8361: затрагивает маршрутизаторы с открытой службой Universal Plug and Play (UPnP), в частности, через действие AddPortMapping службы WANIPConnection.