Злоумышленникам удалось доказать возможность создания рабочих ботнет сетей на платформах отличных от Windows, захватив управление над примерно 100 тысячами ADSL мини-маршрутизаторов, c основанной на Linux прошивкой, и задействовав их в качестве единой ботнет сети для проведения DDoS атак и рассылки спама. Захват управления стал возможен из-за халатности производителей оборудования, допустивших возможность входа с типовым паролем на открытый для внешней сети web-интерфейс или SSH/FTP/telnet порт. Основной целью атаки являются ADSL модемы Netcomm NB5, работающие под управлением Linux.

Ботнет получил название Psybot. После подбора пароля и проникновения на устройство, производится загрузка в открытую на запись директорию /var/tmp файла udhcpc.env и его запуск. udhcpc.env представляет собой сжатый универсальный исполняемый код (33 Кб) для Linux, откомпилированный для платформы MIPSel, название файла подобрано для сходства с типовым DHCP пакетом.

Psybot поддерживает заражение прошивок OpenWRT и DD-WRT. Кроме подбора пароля по SSH, FTP или telnet, имеется возможность проникновения через некорректно настроенные версии phpMyAdmin и MySQL. Управление ботнетом осуществляется через IRC. Бот поддерживает выполнение более 30 управляющих команд, среди которых запуск shell, сканирование подсетей для поиска уязвимых хостов, наводнение заданного URL запросами, обновление вредоносного кода, запуск http-сервера, загрузка файлов на машину жертвы, сканирование портов, отправка SYN, UDP или ICMP пакетов.

Пользователям всех мини-маршрутизаторов с открытыми во вне портами 22, 23 и 80, настоятельно рекомендуется обновить прошивку и заблокировать пакетным фильтром доступ из внешней сети на вышеуказанные порты.

citcity.ru

Последняя модификация: 25 Март, 2009