El virus VPNFilter, que infectó 500 mil enrutadores, resultó ser aún más peligroso de lo que se pensaba.

Hace unas semanas, los expertos en seguridad de la información advirtieron sobre un malware peligroso llamado VPNFilter. Al final resultó que, el objetivo principal de este malware es enrutadores de varios fabricantes. Uno de los primeros en VPNFilter fue un equipo de expertos en seguridad de información de Cisco Talos .

Los desarrolladores mejoran constantemente el malware. Recientemente, se ha descubierto un nuevo módulo que utiliza el tipo de ataque man-in-the-middle con respecto al tráfico entrante. Los atacantes pueden modificar el tráfico que pasa por el enrutador. También pueden redirigir cualquier información a sus servidores sin ningún problema. El módulo de virus se llama ssler.

Además de modificar el tráfico entrante, ssler también puede transferir los datos personales de la víctima a sus creadores. Estas pueden ser contraseñas de varios recursos que los ciberdelincuentes luego usan para diferentes propósitos.

Para evitar el robo de información personal, generalmente se usa el cifrado TLS, que el malware puede omitir. Esto se hace "degradando" las conexiones HTTPS al tráfico HTTP, que no está protegido por nada. Luego, se reemplazan los encabezados de solicitud, lo que sirve como señal de que el punto de acceso es vulnerable. Ssler modifica específicamente el tráfico de varios recursos, incluidos Google, Facebook, Twitter y Youtube. El hecho es que estos servicios proporcionan protección adicional. Por ejemplo, Google redirige el tráfico HTTP a los servidores HTTPS. Pero el módulo le permite omitir esta protección, de modo que los atacantes reciban tráfico sin cifrar.

Desde el momento en que se descubre un virus, los expertos en seguridad de la información están explorando sus capacidades . Ahora resultó que era más peligroso de lo que se pensaba. Anteriormente, por ejemplo, los expertos de Cisco afirmaban que la tarea principal de los atacantes era infectar los dispositivos de red en las oficinas de la empresa y en las casas de las víctimas. Quizás para formar una botnet. Pero ahora resultó que eran los usuarios, o más bien, sus datos, el objetivo principal.

“Inicialmente, cuando descubrimos el virus, creíamos que fue creado para implementar varios tipos de ataques a la red. Pero resultó que esta no es en absoluto la tarea principal y la posibilidad de malware. Fue creado principalmente para robar datos de usuarios y modificar el tráfico. Por ejemplo, un virus puede cambiar el tráfico de tal manera que un usuario del banco cliente verá la misma cantidad en su cuenta. Pero, de hecho, el dinero no ha estado allí por mucho tiempo ”, dijo el informe de expertos en ciberseguridad.

Curiosamente, la mayoría de los dispositivos infectados se encuentran en / en Ucrania. Las medidas de protección como HTTP Strict Transport Security no son muy comunes aquí, por lo que los datos del usuario están en riesgo. Pero en otros países hay problemas, por ejemplo, en los EE. UU. Y Europa occidental, muchos dispositivos que son moralmente obsoletos no admiten trabajar con HTTPS, mientras continúan usando HTTP.

Anteriormente se informó que los modelos de enrutadores más vulnerables para este virus son dispositivos fabricados por ASUS, D-Link, Huawei, Ubiquiti, UPVEL y ZTE. De hecho, la gama de dispositivos vulnerables al virus es mucho más amplia. Esto, incluidos los modelos de Linksys, MikroTik, Netgear y TP-Link.

Y eso no es todo

Además de todo lo anunciado anteriormente, Talos informó el descubrimiento de un módulo sniffer. Analiza el tráfico en la búsqueda de datos de cierto tipo que están asociados con la operación de sistemas industriales. Este tráfico pasa a través del TP-Link R600, que está determinado por el módulo. Además, el módulo busca accesos IP desde un cierto rango, así como paquetes de datos que tienen un tamaño de 150 bytes o más.



“Los creadores del virus están buscando cosas muy específicas. No intentan recopilar tanta información como sea posible, en absoluto. Necesitan contraseñas, inicios de sesión, acceso a un rango de IP específico y similares. Estamos tratando de entender quién puede necesitar todo esto ”, dicen los investigadores.

Pero esto no es todo, porque ahora el virus se está actualizando, ha aparecido un módulo de autodestrucción en su funcionalidad. Cuando se activa el módulo, el virus se elimina del dispositivo sin dejar rastro.

A pesar de que el FBI descubrió y se apoderó del servidor principal hace aproximadamente una semana, la botnet todavía está activa, las medidas tomadas claramente no fueron suficientes.