हमलावरों ने बॉटनेट बनाने के लिए हजारों मिक्रोटिक राउटर से समझौता किया

चीन के नेटलैब 360 के शोधकर्ताओं ने लातवियाई कंपनी मिक्रोटिक द्वारा बनाए गए हजारों मैलवेयर संक्रमित राउटरों की खोज की घोषणा की है। हमलावरों द्वारा उपयोग की गई भेद्यता अप्रैल में वापस खोज ली गई थी, और कंपनी ने पहले ही समस्या को ठीक करने के लिए एक पैच जारी किया है।

लेकिन हजारों राउटर असुरक्षित हैं और अब, क्योंकि कोई भी अपने फर्मवेयर को अपडेट नहीं कर रहा है - कई कंपनियां और साधारण निजी उपयोगकर्ता बस इस पहलू पर ध्यान नहीं देते हैं। कुल राउटरों की संख्या के लिए, लगभग 7.5 हजार उपकरणों का समझौता किया गया (विशेषज्ञों ने जो पाया)। सामान्य तौर पर, नेटवर्क में अभी भी लगभग 370 हजार राउटर हैं, जिनके सॉफ्टवेयर में भेद्यता अभी तक तय नहीं की गई है।

हमलावर समझौता किए गए उपकरणों से उपयोगकर्ता डेटा एकत्र करते हैं, प्राप्त जानकारी को अपने सर्वर पर पुनर्निर्देशित करते हैं। वैसे, लगभग 239 हजार रूटर्स SOCKS 4 प्रॉक्सी में बदल दिए जाते हैं, जो आसानी से सुलभ हैं।

मिक्रोटिक के रूप में, यह इसके लिए वायरलेस उपकरण और सॉफ्टवेयर प्रदान करता है, व्यापार और व्यक्तियों दोनों को सिस्टम की आपूर्ति करता है। लातवियाई कंपनी के उपकरणों को बड़े नेटवर्क सेवा प्रदाताओं द्वारा सक्रिय रूप से उपयोग किया जाता है। इस निर्माता के अधिकांश उपकरण शारीरिक रूप से ब्राजील और रूस में स्थित हैं। उनमें से बहुत सारे यूएसए में हैं।

वैसे, Mirotik राउटर्स के साथ समस्या पर ध्यान देने वाले चीनी पहले नहीं हैं - ट्रस्टवेव कंपनी के पूर्व प्रतिनिधियों ने इन उपकरणों पर मैलवेयर के हमले पर ध्यान आकर्षित किया। नेटवर्क डिवाइस सॉफ्टवेयर में भेद्यता वॉल्ट 7 रिसाव के बाद ज्ञात हुई। प्रारंभ में, हमलावरों ने राउटर में दिए गए त्रुटि पृष्ठ पर Coinhive JavaScrip इंजेक्ट किया, फिर सभी वेब अनुरोधों को इस पृष्ठ पर पुनः निर्देशित किया गया। लेकिन राउटर के लिए पहले मैलवेयर के डेवलपर्स ने एक गलती की, और उन अनुरोधों के लिए बाहरी पृष्ठों तक पहुंच को अवरुद्ध कर दिया जो पहले से ही हैकिंग डिवाइस का उपयोग करके निष्पादित किए जाते हैं।

नेटलैब 360 टीम द्वारा खोजे गए दूसरे हमले ने हैक किए गए नेटवर्क उपकरणों को एक गैर-मानक टीसीपी पोर्ट (4153) के लिए SOCKS4 प्रोटोकॉल का उपयोग करके दुर्भावनापूर्ण प्रॉक्सी नेटवर्क में बदल दिया। और इस मामले में एक्सेस केवल आईपी पते की बहुत सीमित सीमा से उपकरणों के लिए खुला है, 95.154.216.128/25। लगभग सभी ट्रैफ़िक को 95.154.216.167 पर निर्देशित किया गया था, जो एक पता है जो यूके में स्थित एक होस्टिंग सेवा से जुड़ा हुआ है।

यह अभी भी स्पष्ट नहीं है कि फटे रोटोमर्स का उपयोग क्यों किया जाता है। शायद अन्य कमजोर उपकरणों की खोज करने के लिए।

के रूप में MikroTik के साथ नई समस्या के लिए, इस मामले में TZSP प्रोटोकॉल पर आधारित एक स्निफर का उपयोग किया जाता है। यह विंडसर्क या इसके एनालॉग्स का उपयोग करके रिमोट सिस्टम में पैकेट भेजने में सक्षम है। 7,500 समझौता किए गए राउटरों को पुनर्निर्देशित नेटवर्क ट्रैफ़िक के ऊपर उल्लिखित किया गया था, मुख्यतः एफ़टीपी और ई-मेल। नेटवर्क उपकरणों के रिमोट कंट्रोल से संबंधित डेटा की एक छोटी मात्रा, लेकिन आईपी के एक संकीर्ण चयन के लिए भी देखा गया था। अधिकांश डेटा पैकेट को बेलीज से एक आईपी प्रदाता के पास भेजा जाता है।



यह इस तरह का एकमात्र हमला नहीं है। पिछले महीने, यह साइबर अपराधियों के एक समूह के बारे में जाना गया , जिन्होंने एक अन्य निर्माता - डलिंक - के राउटर में भेद्यता का फायदा उठाया। इस मामले में, साइबर क्रिमिनल डिवाइस के उपयोगकर्ता को उस संसाधन पर पुनर्निर्देशित करने के लिए राउटर की DNS सेवा की सेटिंग्स को दूरस्थ रूप से बदल सकते हैं जो हैकर्स द्वारा स्वयं बनाई गई थी।

कमजोर राउटर ऐसे रॉल मॉडल से प्रभावित होते हैं जैसे DLink DSL-2740R, DSL-2640B, DSL-2780B, DSL-2730B और DSL-526B। यह पहले ही ऊपर उल्लेख किया जा चुका है कि कुछ लोग उन संगठनों के सॉफ़्टवेयर अद्यतन की निगरानी करते हैं, जहां संगठनों के अलावा यह महत्वपूर्ण रूप से महत्वपूर्ण है (और यह हमेशा मामला नहीं है), इसलिए समझौता किए गए राउटर एक समस्या का पता लगाए बिना बहुत लंबे समय तक काम कर सकते हैं। डंकल पर अगस्त के हमले का उद्देश्य ब्राजील के दो सबसे बड़े बैंकों - बैंको डी ब्रासिल और यूनिबांको के ग्राहकों को लक्षित करना था।

हमलावरों ने बैंक साइटों को नकली कर दिया और उपयोगकर्ताओं को प्रतियों में पुनर्निर्देशित कर दिया। नतीजतन, बिना सोचे-समझे पीड़ितों ने एक्सेस डेटा दर्ज किया और इस तरह से साइबर अपराधियों तक यह जानकारी पहुंचाई।