Bagaimana Mengenal dan Memperbaiki VPN Perisian Malware Sekarang (04.18.24)

Tidak semua malware dibuat sama. Salah satu bukti ini adalah adanya VPNFilter malware , jenis malware penghala baru yang mempunyai sifat merosakkan. Satu ciri khas yang dimilikinya ialah ia dapat bertahan dari reboot, tidak seperti kebanyakan ancaman Internet of Things (IoT) yang lain. Kami juga akan mengajar anda bagaimana untuk mencegahnya daripada mendatangkan malapetaka pada sistem anda sejak awal.

Apa itu VPNFilter Malware?

Fikirkan VPNFilter sebagai malware yang merosakkan yang mengancam penghala, peranti IoT, dan juga yang disambungkan ke rangkaian peranti storan (NAS). Ini dianggap sebagai varian malware modular yang canggih yang menyasarkan terutamanya peranti rangkaian dari pengeluar yang berbeza.

Pada mulanya, malware dikesan pada peranti rangkaian Linksys, NETGEAR, MikroTik, dan TP-Link. Ia juga ditemui dalam peranti QNAP NAS. Sehingga kini, terdapat kira-kira 500,000 jangkitan di 54 negara, menunjukkan jangkauan dan kehadirannya secara besar-besaran.

Cisco Talos, pasukan yang mendedahkan VPNFilter, menyediakan catatan blog yang luas mengenai malware dan perincian teknikal di sekitarnya. Dari penampilannya, peralatan rangkaian dari ASUS, D-Link, Huawei, UPVEL, Ubiqiuiti, dan ZTE mempunyai tanda-tanda jangkitan.

Tidak seperti kebanyakan perisian hasad yang disasarkan IoT yang lain, VPNFilter sukar dihilangkan kerana ia berterusan walaupun selepas sistem reboot. Membuktikan rentan terhadap serangannya adalah peranti yang menggunakan kelayakan masuk lalai mereka, atau yang mempunyai kerentanan sifar yang diketahui yang belum mempunyai kemas kini firmware.

Peranti yang Dikenal Dipengaruhi Oleh VPN

Kedua-dua penghala pejabat atau pejabat kecil atau pejabat rumah diketahui menjadi sasaran perisian hasad ini. Perhatikan jenama dan model penghala berikut:

  • Asus RT-AC66U
  • Asus RT-N10
  • Asus RT-N10E
  • Asus RT-N10U
  • Asus RT-N56U
  • Asus RT-N66U
  • D-Link DES-1210-08P
  • D-Link DIR-300
  • D-Link DIR-300A
  • D-Link DSR-250N
  • D-Link DSR-500N
  • D-Link DSR-1000
  • D-Link DSR-1000N
  • Linksys E1200
  • Linksys E2500
  • Linksys E3000
  • Linksys E3200
  • Linksys E4200
  • Linksys RV082
  • Huawei HG8245
  • Linksys WRVS4400N
  • Netgear DG834
  • Netgear DGN1000
  • Netgear DGN2200
  • Netgear DGN3500
  • Netgear FVS318N
  • Netgear MBRN3000
  • Netgear R6400
  • Netgear R7000
  • Netgear R8000
  • Netgear WNR1000
  • Netgear WNR2000
  • Netgear WNR2200
  • Netgear WNR4000
  • Netgear WNDR3700
  • Netgear WNDR4000
  • Netgear WNDR4300
  • Netgear WNDR4300-TN
  • Netgear UTM50
  • MikroTik CCR1009
  • MikroTik CCR1016
  • MikroTik CCR1036
  • MikroTik CCR1072
  • MikroTik CRS109
  • MikroTik CRS112
  • MikroTik CRS125
  • MikroTik RB411
  • MikroTik RB450
  • MikroTik RB750
  • MikroTik RB911
  • MikroTik RB921
  • MikroTik RB941
  • MikroTik RB951
  • MikroTik RB960
  • MikroTik RB962
  • MikroTik RB1100
  • MikroTik RB1200
  • MikroTik RB2011
  • MikroTik RB3011
  • MikroTik RB Groove
  • MikroTik RB Omnitik
  • MikroTik STX5
  • TP-Link R600VPN
  • TP-Link TL-WR741ND
  • TP-Link TL-WR841N
  • Ubiquiti NSM2
  • Ubiquiti PBE M5
  • Perangkat Naik-model yang tidak diketahui
  • Perangkat ZTE ZXHN H108N
  • QNAP TS251
  • QNAP TS439 Pro
  • QNAP Lain Peranti NAS yang menjalankan perisian QTS

Penyebut umum di antara kebanyakan peranti yang disasarkan adalah penggunaan bukti kelayakan lalai. Mereka juga telah mengetahui eksploitasi, terutama untuk versi yang lebih lama.

Apa yang dilakukan oleh VPNFilter Malware terhadap Peranti yang Terinfeksi?

VPNFilter berfungsi menyebabkan kerosakan yang melemahkan pada peranti yang terjejas dan juga berfungsi sebagai kaedah pengumpulan data. Ia berfungsi dalam tiga peringkat:

Tahap 1

Ini menandakan pemasangan dan mengekalkan kehadiran berterusan pada peranti sasaran. Malware akan menghubungi pelayan arahan dan kawalan (C & amp; C) untuk memuat turun modul tambahan dan menunggu arahan. Pada fasa ini, terdapat banyak pengurangan bawaan untuk mencari C & amp; Tahap 2 sekiranya berlaku perubahan infrastruktur semasa ancaman diterapkan. VPN Tahap 1Filter dapat menahan reboot.

Tahap 2

Ini menampilkan muatan utama. Walaupun tidak dapat bertahan melalui but semula, ia mempunyai lebih banyak keupayaan. Ia dapat mengumpulkan file, melaksanakan perintah, dan melakukan pengelakan data dan pengelolaan perangkat. Meneruskan kesannya yang merosakkan, malware tersebut dapat "membuat bata" pada perangkat setelah menerima perintah dari penyerang. Ini dilaksanakan dengan menimpa sebahagian firmware peranti dan reboot seterusnya. Perbuatan jenayah menjadikan peranti tidak dapat digunakan.

Tahap 3

Beberapa modul yang diketahui mengenai ini wujud dan bertindak sebagai pemalam untuk Tahap 2. Ini terdiri daripada paket pengintip untuk mengintip lalu lintas yang diarahkan melalui peranti, yang membolehkan pencurian kelayakan laman web dan penjejakan protokol Modbus SCADA. Modul lain membolehkan Tahap 2 berkomunikasi dengan selamat melalui Tor. Berdasarkan penyiasatan Cisco Talos, satu modul memberikan kandungan berbahaya kepada lalu lintas yang melewati peranti. Dengan cara ini, penyerang dapat mempengaruhi peranti yang disambungkan lebih jauh.

Pada 6 Jun, dua lagi modul Tahap 3 didedahkan. Yang pertama disebut "ssler," dan ia dapat memintas semua lalu lintas yang melewati peranti menggunakan port 80. Ini membolehkan penyerang melihat lalu lintas web dan memintasnya untuk melaksanakan manusia di tengah serangan. Sebagai contoh, dapat mengubah permintaan HTTPS menjadi permintaan HTTP, mengirimkan data yang disulitkan secara tidak selamat. Yang kedua dijuluki "dstr," yang menggabungkan perintah membunuh ke mana-mana modul Tahap 2 yang kekurangan ciri ini. Setelah dilaksanakan, ia akan menghilangkan semua jejak perisian hasad sebelum merusak peranti.

Berikut adalah tujuh modul Tahap 3 lagi yang diturunkan pada 26 September:
  • htpx - Ia berfungsi sama seperti ssler, mengarahkan dan memeriksa semua trafik HTTP yang melalui peranti yang dijangkiti untuk mengenal pasti dan mencatat sebarang Windows yang boleh dilaksanakan. Ia dapat mengeksekusi Trojan-ize ketika melalui router yang dijangkiti, yang memungkinkan penyerang memasang malware pada pelbagai mesin yang terhubung ke rangkaian yang sama.
  • ndbr - Ini dianggap sebagai alat SSH pelbagai fungsi.
  • nm - Modul ini adalah senjata pemetaan rangkaian untuk mengimbas subnet tempatan .
  • netfilter - Utiliti penolakan perkhidmatan ini dapat menyekat akses ke beberapa aplikasi yang dienkripsi.
  • portforwarding - Ia meneruskan trafik rangkaian ke infrastruktur yang ditentukan oleh penyerang.
  • socks5proxy - Ini membolehkan proksi SOCKS5 dibuat pada peranti yang rentan.
Asal dari VPNFilter Terungkap

Ini perisian hasad kemungkinan merupakan karya entiti penggodam yang ditaja oleh kerajaan. Jangkitan awal terutama dirasakan di Ukraine, dengan mudah mengaitkan perbuatan itu kepada kumpulan peretas Fancy Bear dan kumpulan yang disokong oleh Rusia.

Walau bagaimanapun, ini menggambarkan sifat VPNFilter yang canggih. Ia tidak dapat dikaitkan dengan asal usul yang jelas dan kumpulan peretasan tertentu, dan seseorang masih belum melangkah maju untuk menuntut tanggungjawab terhadapnya. Penaja negara-negara sedang berspekulasi kerana SCADA bersama protokol sistem perindustrian lain mempunyai peraturan dan penargetan malware yang komprehensif.

Sekiranya anda bertanya kepada FBI, VPNFilter adalah gagasan Fancy Bear. Kembali pada bulan Mei 2018, agensi tersebut merampas domain ToKnowAll.com, yang dianggap berperanan dalam memasang dan memerintah Tahap 2 dan 3 VPNFilter. Penyitaan itu membantu menghentikan penyebaran perisian hasad, tetapi gagal menangani img utama.

Dalam pengumumannya pada 25 Mei, FBI mengeluarkan permintaan mendesak bagi pengguna untuk menghidupkan semula router Wi-Fi mereka di rumah untuk menghentikan serangan malware yang besar dari luar negara. Pada masa itu, agensi itu menunjukkan penjenayah siber asing kerana menjejaskan penghala Wi-Fi pejabat kecil dan rumah - bersama dengan peranti rangkaian lain - dengan jumlah seratus ribu.

Saya Hanya Pengguna Biasa - Apa maksudnya Serangan VPNFilter Saya?

Kabar baiknya ialah penghala anda tidak mungkin menyimpan perisian hasad jika anda memeriksa senarai penghala VPNFilter yang kami sediakan di atas. Tetapi ia selalu dilakukan dengan berhati-hati. Symantec, untuk satu, menjalankan VPNFilter Check sehingga anda dapat menguji sama ada anda terkena atau tidak. Hanya perlu beberapa saat untuk menjalankan pemeriksaan.

Sekarang, inilah masalahnya. Bagaimana jika anda benar-benar dijangkiti? Terokai langkah-langkah berikut:
  • Tetapkan semula penghala anda. Seterusnya, jalankan VPNFilter Check sekali lagi.
  • Tetapkan semula penghala anda ke tetapan kilang.
  • Pertimbangkan untuk mematikan tetapan pengurusan jauh pada peranti anda.
  • Muat turun firmware yang paling baru untuk penghala anda. Selesaikan pemasangan firmware yang bersih, idealnya tanpa penghala membuat sambungan dalam talian semasa prosesnya sedang berjalan.
  • Lengkapkan imbasan sistem penuh pada komputer atau peranti anda yang telah disambungkan ke penghala yang dijangkiti. Jangan lupa untuk menggunakan alat pengoptimum PC yang boleh dipercayai untuk bekerjasama dengan pengimbas malware yang dipercayai.
  • Selamatkan hubungan anda. Lindungi diri anda dengan VPN berbayar berkualiti tinggi dengan rekod prestasi privasi dan keselamatan dalam talian yang terbaik.
  • Biasakan menukar kelayakan log masuk lalai penghala anda, serta peranti IoT atau NAS lain .
  • Pasang firewall dan dikonfigurasi dengan benar untuk menjaga hal-hal buruk dari jaringan anda.
  • Amankan peranti anda dengan kata laluan yang kuat dan unik.
  • Aktifkan penyulitan .

Sekiranya penghala berpotensi terjejas, sebaiknya periksa dengan laman web pengeluar untuk mengetahui maklumat dan langkah baru untuk melindungi peranti anda. Ini adalah langkah segera yang harus diambil, kerana semua maklumat anda melalui penghala anda. Apabila router terganggu, privasi dan keselamatan peranti anda dipertaruhkan.

Ringkasan

Malware VPNFilter mungkin juga merupakan salah satu ancaman terkuat dan paling tidak dapat dihancurkan untuk menyerang perusahaan dan router pejabat atau rumah kecil baru-baru ini sejarah. Pada mulanya ia dikesan pada peranti rangkaian Linksys, NETGEAR, MikroTik, dan TP-Link dan peranti QNAP NAS. Anda dapat mencari senarai router yang terjejas di atas.

VPN Filter tidak dapat diabaikan setelah memulakan sekitar 500,000 jangkitan di 54 negara. Ia berfungsi dalam tiga tahap dan menjadikan router tidak dapat digunakan, mengumpulkan maklumat yang melewati router, dan bahkan menyekat lalu lintas rangkaian. Mengesan dan menganalisis aktiviti rangkaiannya tetap sukar dilakukan.

Dalam artikel ini, kami menggariskan cara untuk membantu mempertahankan diri dari perisian hasad dan langkah-langkah yang dapat anda ambil jika penghala anda telah disusupi. Akibatnya sangat mengerikan, jadi anda tidak boleh melakukan tugas penting untuk memeriksa peranti anda.

Video YouTube.: Bagaimana Mengenal dan Memperbaiki VPN Perisian Malware Sekarang

04, 2024