EwDoor Botnet
Nowe zagrożenie botnetowe o nazwie EwDoor Botnet infekuje niechronione urządzenia brzegowe sieci korporacyjnych AT&T. Zagrożenie wykorzystuje czteroletnią krytyczną lukę oznaczoną jako CVE-2017-6079. Exploit umożliwia atakującym uzyskanie nieskrępowanego dostępu do roota do zaatakowanych urządzeńzdalnie.
Konkretnym modelem zaatakowanym w ostatniej kampanii jest EdgeMarc Enterprise Session Border Controller. Takie urządzenia są powszechnie używane przez MŚP (małe i średnie przedsiębiorstwa) do zabezpieczania i obsługi różnych zadań, takich jak rozmowy telefoniczne, wideokonferencje czy inne kanały komunikacji w czasie rzeczywistym. Ponieważ działają one jako pomost między organizacjami i ich dostawcami usług internetowych, kontrolery granic sesji są głównym celem cyberprzestępców, którzy chcą przeprowadzać ataki DDoS (Distributed Denial-of-Service) i zbierać poufne informacje.
Tysiące zhakowanych urządzeń
Naukowcy z laboratorium badań nad bezpieczeństwem sieci Qihoo 360 po raz pierwszy wykryli zagrożenie botnetem EwDoor. Udało im się również zidentyfikować jeden z serwerów dowodzenia i kontroli (C2, C&C) cyberprzestępców. W ciągu zaledwie trzech godzin naukowcy byli w stanie zidentyfikować około 5700 zainfekowanych urządzeń. Następnie hakerzy przeszli na inną komunikację C2. Sprawdzając certyfikaty SSI urządzeń, 360 Netlab odkrył, że około 100 000 adresów IP używa tego samego certyfikatu SSI.
Zdolności grożące
Analiza funkcjonalności zagrożenia ujawnia, że jest ono głównie nastawione na przeprowadzanie ataków DDoS i tworzenie backdoora łączącego się z siecią ofiary. Obecne wersje EwDoor Botnet są wyposażone w sześć głównych funkcji. Może się aktualizować, skanować w poszukiwaniu portów, manipulować systemem plików, przeprowadzać ataki DDoS, uruchamiać odwrotne powłoki i umożliwiać atakującym wykonywanie dowolnych poleceń na naruszonych serwerach.
AT&T oświadczyła, że jest świadoma problemu i podjęła kroki w celu złagodzenia jego skutków. Jak dotąd firma nie znalazła dowodów na to, że dane jej klientów zostały naruszone.
