D-Link routereket kebelez be a MooBot botnet

A MooBot botnet készítői úgy döntöttek, hogy ezúttal D-Link routerekkel növelik a kártékony hálózatuk erőforrásait.
 

A hírhedt Mirai botnet egyik leszármazottjának tartott MooBot hálózatot 2021-ben leplezte le a Fortinet. Akkor ez a botnet elsősorban Hikvision kamerákat ostromolt annak érdekében, hogy végül elosztott szolgáltatásmegtagadási támadásokat tudjon indítani a legkülönfélébb informatikai hálózatok, rendszerek, szolgáltatások ellen. Azóta azonban a Moobot mögött álló kiberbanda bővítette a repertoárját, és a kamerák mellett egyebek mellett routereket is elkezdett megfertőzni, növelve ezzel a hálózat kapacitását.
 
A vizsgálatok azt mutatják, hogy a MooBot az utóbbi időben jelentősebb mértékben bővült fertőzött D-Link routerekkel. A Palo Alto Network Unit 42 csapata szerint ennek az az oka, hogy a kiberbűnözők rávetették magukat négy D-Link sérülékenységre, amelyeket automatizált módon kezdtek kihasználni. Ezeket a biztonsági réseket a D-Link már korábban javította, de amint a példa is mutatja, a frissítések sok hálózati eszközre nem kerültek fel.
 
A Moobot az alábbi sebezhetőségeket igyekszik a csalók javára fordítani:

• CVE-2015-2051: D-Link HNAP SOAPAction hiba
• CVE-2018-6530: D-Link SOAP Interface sebezhetőség
• CVE-2022-26258: D-Link távoli parancsfuttatási sérülékenység
• CVE-2022-28958: D-Link távoli parancsfuttatási sérülékenység

 
A fenti biztonsági rések közül az utolsó kettő azért is különösen problémás, mert azokat a gyártó idén márciusban, illetve májusban foltozta be, és azok még sok eszközön nem találhatók meg.
 
A MooBot terjedésében szerepet játszó támadások során az elkövetők a szóban forgó hibák kihasználásával hozzáférést szereznek a kiszemelt routerekhez, és azokra különféle kódokat juttatnak fel, esetenként manipulálják a beállításokat. Amint ezek a nemkívánatos kódok felkerülnek a készülékekre, akkor az azokban titkosítottan megtalálható hálózati címek révén megkezdődik a kommunikációt a router és a vezérlőszerverek között.
 
A MooBot továbbra is elosztott szolgáltatásmegtagadási támadásokban jut szerephez. A mögötte lévő kiberbanda a hálózatban lévő erőforrásokat szolgáltatás formájában is értékesíti a netes feketepiacon, így tulajdonképpen bárki kibérelheti a botnetet egy-egy DDoS-támadás erejéig.
 
A Palo Alto Network szerint a kompromittált routereket elsősorban onnan lehet felismerni, hogy azok belassulnak, esetenként válaszképtelenné válnak. Azokon módosulhatnak a DNS-beállítások, és a nagy terhelés miatt túlmelegedhetnek.
 
A biztonsági szakemberek a hálózati eszközök rendszeres biztonsági frissítését javasolják a problémák megelőzése érdekében.