Virus VPNFilter, yang menginfeksi 500 ribu router, ternyata bahkan lebih berbahaya daripada yang diperkirakan

Beberapa minggu yang lalu, pakar keamanan informasi memperingatkan tentang malware berbahaya yang disebut VPNFilter. Ternyata, tujuan utama malware ini adalah router dari berbagai produsen. Salah satu yang pertama di VPNFilter adalah tim pakar keamanan info Cisco Talos .

Malware ini terus diperbaiki oleh pengembang. Baru-baru ini, sebuah modul baru telah ditemukan yang menggunakan tipe serangan man-in-the-middle sehubungan dengan lalu lintas masuk. Penyerang dapat memodifikasi lalu lintas yang melewati router. Mereka juga dapat mengarahkan data ke server mereka tanpa masalah. Modul virus disebut ssler.

Selain memodifikasi lalu lintas masuk, ssler juga dapat mentransfer data pribadi korban ke penciptanya. Ini bisa berupa kata sandi untuk berbagai sumber yang kemudian digunakan penjahat cyber untuk tujuan yang berbeda.

Untuk mencegah pencurian informasi pribadi, enkripsi TLS biasanya digunakan, yang dapat dilewati oleh malware. Ini dilakukan dengan "menurunkan" koneksi HTTPS ke lalu lintas HTTP, yang tidak dilindungi oleh apa pun. Kemudian header permintaan diganti, yang berfungsi sebagai sinyal bahwa titik akses rentan. Ssler secara khusus memodifikasi lalu lintas berbagai sumber, termasuk Google, Facebook, Twitter, dan Youtube. Faktanya adalah bahwa layanan ini memberikan perlindungan tambahan. Misalnya, Google mengalihkan lalu lintas HTTP ke server HTTPS. Tetapi modul ini memungkinkan Anda untuk melewati perlindungan ini, sehingga penyerang menerima lalu lintas yang tidak dienkripsi.

Dari saat virus ditemukan, para pakar keamanan informasi sedang mengeksplorasi kemampuannya . Sekarang ternyata dia lebih berbahaya daripada yang diperkirakan. Sebelumnya, misalnya, para ahli Cisco mengklaim bahwa tugas utama penyerang adalah menginfeksi perangkat jaringan di kantor perusahaan dan rumah para korban. Mungkin untuk membentuk botnet. Tapi sekarang ternyata itu adalah pengguna, atau lebih tepatnya, data mereka - tujuan utama.

“Awalnya, ketika kami menemukan virus, kami percaya bahwa itu dibuat untuk mengimplementasikan berbagai jenis serangan jaringan. Tetapi ternyata ini sama sekali bukan tugas utama dan kemungkinan malware. Itu dibuat terutama untuk mencuri data pengguna dan memodifikasi lalu lintas. Misalnya, virus dapat mengubah lalu lintas sedemikian rupa sehingga pengguna bank klien akan melihat jumlah yang sama di akunnya. Tetapi pada kenyataannya, uang belum ada di sana untuk waktu yang lama, "kata laporan para pakar keamanan siber.

Menariknya, sebagian besar perangkat yang terinfeksi berada di / di Ukraina. Tindakan perlindungan seperti HTTP Strict Transport Security tidak terlalu umum di sini, sehingga data pengguna berisiko. Tetapi di negara lain ada masalah - misalnya, di AS dan Eropa Barat, banyak perangkat yang secara moral usang tidak mendukung bekerja dengan HTTPS, sambil terus menggunakan HTTP.

Sebelumnya dilaporkan bahwa model router yang paling rentan untuk virus ini adalah perangkat yang diproduksi oleh ASUS, D-Link, Huawei, Ubiquiti, UPVEL, dan ZTE. Bahkan, rentang perangkat yang rentan terhadap virus jauh lebih luas. Ini, termasuk model dari Linksys, MikroTik, Netgear dan TP-Link.

Dan itu belum semuanya

Selain semua yang diumumkan di atas, Talos melaporkan penemuan modul sniffer. Ini menganalisis lalu lintas dalam mencari data dari jenis tertentu yang terkait dengan pengoperasian sistem industri. Lalu lintas ini melewati TP-Link R600, yang ditentukan oleh modul. Selain itu, modul mencari akses IP dari rentang tertentu, serta paket data yang berukuran 150 byte atau lebih.



“Pencipta virus mencari hal-hal yang sangat spesifik. Mereka tidak berusaha mengumpulkan informasi sebanyak mungkin, tidak sama sekali. Mereka membutuhkan kata sandi, login, akses ke rentang IP tertentu dan sejenisnya. Kami berusaha memahami siapa yang mungkin membutuhkan semua ini, ”kata para peneliti.

Tapi ini tidak semua, karena sekarang virus sedang diperbarui, modul penghancuran diri telah muncul dalam fungsinya. Ketika modul diaktifkan, virus dihapus dari perangkat tanpa jejak.

Terlepas dari kenyataan bahwa FBI menemukan dan merebut server utama sekitar seminggu yang lalu, botnet masih aktif, langkah-langkah yang diambil jelas tidak cukup.