Главная страница » Индикаторы компрометации
0
1 год
Индикаторы компрометации

Новый VoIP-ботнет атакует маршрутизаторы, используя стандартные пароли

botnet

Кибербезопасность вновь оказалась в центре внимания после обнаружения новой ботнет-сети, нацеленной на VoIP-маршрутизаторы с использованием атак на устройства со стандартными паролями. Исследователи зафиксировали первые признаки активности в сельских районах Нью-Мексико, после чего ботнет расширил свою географию, заразив около 500 устройств по всему миру.

Описание

Первые тревожные сигналы поступили от специалистов GreyNoise Intelligence, которые обратили внимание на аномальную концентрацию вредоносных IP-адресов, исходящих из малонаселенного региона Нью-Мексико, где проживает чуть более 3000 человек. При детальном изучении выяснилось, что около 90 адресов принадлежали Pueblo of Laguna Utility Authority - местной коммунальной службе, чьи устройства демонстрировали скоординированное поведение, характерное для ботнет-активности. Атаки проводились через протокол Telnet, который часто используется для удаленного управления сетевым оборудованием.

Анализ показал, что все атаки из этого региона были связаны именно с Telnet, что указывает на целенаправленное сканирование устройств со слабой аутентификацией. Злоумышленники применяли методы перебора стандартных паролей, характерных для IoT-устройств, а также использовали техники, схожие с вариантами известного ботнета Mirai. С помощью инструментов на базе искусственного интеллекта и данных перехвата трафика исследователи определили, что значительная часть зараженных устройств - это VoIP-оборудование. Также были найдены следы использования маршрутизаторов Cambium Networks, часть из которых, вероятно, всё ещё работает на уязвимых версиях прошивок, подверженных удалённому выполнению кода - уязвимость, известная с 2017 года.

Одним из ключевых признаков ботнета стала уникальная сетевая сигнатура, обнаруженная в 90% трафика от зараженных устройств. Это позволило предположить, что атакуемые системы имеют схожую конфигурацию, что упрощает массовое заражение. После локализации первоначального кластера в Нью-Мексико исследователи выявили аналогичные атаки в других странах, охватившие около 500 IP-адресов. Вредоносная активность включала интенсивные попытки входа через Telnet с использованием слабых учетных данных, агрессивное сканирование сети и другие признаки, типичные для ботнетов семейства Mirai.

VoIP-устройства остаются привлекательной целью для киберпреступников по нескольким причинам: они часто работают на устаревших версиях Linux-прошивок, имеют открытые по умолчанию Telnet-сервисы и редко получают своевременные обновления безопасности. Владельцы таких устройств зачастую не уделяют должного внимания их защите, что делает их легкой добычей для злоумышленников.

Интересно, что после того, как один из исследователей GreyNoise вкратце упомянул о расследовании в социальных сетях, активность ботнета из Нью-Мексико полностью прекратилась. Это могло быть как совпадением, так и свидетельством того, что операторы ботнета следят за обсуждениями в сфере кибербезопасности. Однако глобальная активность сети продолжилась, что говорит лишь о смене тактики, а не о полном прекращении работы.

Эксперты рекомендуют администраторам сетей проверить доступность Telnet на VoIP-устройствах, изменить или отключить стандартные пароли на периферийном оборудовании, а также внедрить системы мониторинга для обнаружения подозрительного исходящего трафика. Этот инцидент в очередной раз подчеркивает риски, связанные с интернет-устройствами, и показывает, как даже небольшие организации могут невольно стать частью глобальных киберпреступных схем. Своевременное обновление прошивок и отключение ненужных сервисов - ключевые меры для предотвращения подобных атак.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи