Le virus VPNFilter, qui a infecté 500 000 routeurs, s'est avéré encore plus dangereux qu'on ne le pensait

Il y a quelques semaines, des experts en sécurité de l'information ont mis en garde contre un malware malveillant appelé VPNFilter. Il s'est avéré que l'objectif principal de ce logiciel malveillant était les routeurs de divers fabricants. L'une des premières de VPNFilter était une équipe d' experts en sécurité des informations Cisco Talos .

Le malware est constamment amélioré par les développeurs. Récemment, un nouveau module a été découvert qui utilise le type d'attaque man-in-the-middle en ce qui concerne le trafic entrant. Les attaquants peuvent modifier le trafic passant par le routeur. Ils peuvent également rediriger toutes les données vers leurs serveurs sans aucun problème. Le module antivirus est appelé ssler.

En plus de modifier le trafic entrant, ssler peut également transférer les données personnelles de la victime à ses créateurs. Il peut s'agir de mots de passe pour diverses ressources que les cybercriminels utilisent ensuite à différentes fins.

Pour empêcher le vol d'informations personnelles, le cryptage TLS est généralement utilisé, ce que le malware peut contourner. Cela se fait en «rétrogradant» les connexions HTTPS au trafic HTTP, qui n'est protégé par rien. Ensuite, les en-têtes de demande sont remplacés, ce qui indique que le point d'accès est vulnérable. Ssler modifie spécifiquement le trafic de diverses ressources, dont Google, Facebook, Twitter et Youtube. Le fait est que ces services offrent une protection supplémentaire. Par exemple, Google redirige le trafic HTTP vers les serveurs HTTPS. Mais le module vous permet de contourner cette protection, afin que les attaquants reçoivent du trafic non chiffré.

Dès la découverte d'un virus, les experts en sécurité de l'information explorent ses capacités . Maintenant, il s'est avéré qu'il était plus dangereux qu'on ne le pensait. Auparavant, par exemple, les experts Cisco ont affirmé que la tâche principale des attaquants était d'infecter les périphériques réseau dans les bureaux de l'entreprise et les domiciles des victimes. Peut-être pour former un botnet. Mais maintenant, il s'est avéré que c'était les utilisateurs, ou plutôt, leurs données - l'objectif principal.

«Au départ, lorsque nous avons découvert le virus, nous pensions qu'il avait été créé pour implémenter différents types d'attaques réseau. Mais il s'est avéré que ce n'est pas du tout la tâche principale et la possibilité de logiciels malveillants. Il a été créé principalement pour voler les données des utilisateurs et modifier le trafic. Par exemple, un virus peut modifier le trafic de telle manière qu'un utilisateur client-banque verra le même montant dans son compte. Mais en fait, l'argent n'a pas été là depuis longtemps », a déclaré le rapport des experts en cybersécurité.

Fait intéressant, la plupart des appareils infectés se trouvent en / en Ukraine. Les mesures de protection comme HTTP Strict Transport Security ne sont pas très courantes ici, donc les données des utilisateurs sont en danger. Mais dans d'autres pays, il y a des problèmes - par exemple, aux États-Unis et en Europe occidentale, de nombreux appareils moralement obsolètes ne prennent pas en charge le travail avec HTTPS, tout en continuant à utiliser HTTP.

Il a été signalé précédemment que les modèles de routeur les plus vulnérables à ce virus sont des appareils fabriqués par ASUS, D-Link, Huawei, Ubiquiti, UPVEL et ZTE. En fait, la gamme d'appareils vulnérables au virus est beaucoup plus large. Cela, y compris les modèles de Linksys, MikroTik, Netgear et TP-Link.

Et ce n'est pas tout

En plus de tout ce qui a été annoncé ci-dessus, Talos a rapporté la découverte d'un module renifleur. Il analyse le trafic dans la recherche de données d'un certain type associées au fonctionnement des systèmes industriels. Ce trafic passe par le TP-Link R600, qui est déterminé par le module. De plus, le module recherche les accès IP à partir d'une certaine plage, ainsi que les paquets de données de 150 octets ou plus.



«Les créateurs du virus recherchent des choses très spécifiques. Ils n'essaient pas de collecter autant d'informations que possible, pas du tout. Ils ont besoin de mots de passe, de connexions, d'un accès à une plage IP spécifique, etc. Nous essayons de comprendre qui peut avoir besoin de tout cela », expliquent les chercheurs.

Mais ce n'est pas tout, car maintenant que le virus est mis à jour, un module d'autodestruction est apparu dans sa fonctionnalité. Lorsque le module est activé, le virus est supprimé de l'appareil sans aucune trace.

Malgré le fait que le FBI ait découvert et saisi le serveur principal il y a environ une semaine, le botnet est toujours actif, les mesures prises n'étaient clairement pas suffisantes.