VPNFilter — вредоносное ПО , предназначенное для заражения маршрутизаторов и некоторых сетевых устройств хранения данных. По оценкам, по состоянию на 24 мая 2018 года оно заразило около 500 000 маршрутизаторов по всему миру, хотя число подверженных риску устройств больше. [1] Оно может красть данные, содержит «аварийный выключатель», предназначенный для отключения зараженного маршрутизатора по команде, и способно сохраняться, если пользователь перезагрузит маршрутизатор. [2] ФБР считает, что оно было создано российской группировкой Fancy Bear . [3] [4] В феврале 2022 года CISA объявило, что новое вредоносное ПО под названием Cyclops Blink , созданное Sandworm, заменило VPNFilter. [5]
VPNFilter — вредоносное ПО, заражающее ряд различных видов сетевых маршрутизаторов и устройств хранения данных. Похоже, оно было разработано частично для атаки на последовательные сетевые устройства, использующие протокол Modbus для связи с промышленным оборудованием и управления им, например, на заводах и складах. Вредоносное ПО имеет специальный, выделенный код для атаки на системы управления, использующие SCADA . [6]
Первоначальный вектор заражения пока неизвестен. Группа безопасности Cisco Talos выдвигает гипотезу, что вредоносное ПО использует известные уязвимости безопасности маршрутизаторов для заражения устройств. [7]
Это программное обеспечение устанавливается в несколько этапов:
Cisco и Symantec предлагают владельцам затронутых устройств выполнить сброс настроек к заводским . Обычно это делается с помощью небольшого заостренного предмета, например, выпрямленной скрепки, для нажатия на маленькую кнопку сброса на задней панели устройства в течение 10–30 секунд (время зависит от модели). Это удалит вредоносное ПО, но также восстановит все исходные настройки маршрутизатора. Если на маршрутизаторе включено удаленное управление, сброс настроек к заводским часто отключает его (настройка по умолчанию для многих маршрутизаторов). Удаленное управление считается одним из возможных векторов для первоначальной атаки.
Перед повторным подключением маршрутизатора с заводскими настройками к Интернету следует изменить пароли по умолчанию на устройстве, чтобы предотвратить повторное заражение. [9]
Первоначальный червь, который устанавливает VPNFilter, может атаковать только устройства, работающие под управлением встроенной прошивки на основе Busybox на Linux, скомпилированной только для определенных процессоров. Это не включает невстроенные устройства Linux, такие как рабочие станции и серверы. [10]
Известно, что прошивка, предоставленная производителем на следующих моделях маршрутизаторов, подвержена риску: [11] [8]
По данным Cisco Talos, VPNFilter заразил около 500 000 устройств по всему миру [10] примерно в 54 странах, хотя пропорционально больше всего заражений было на Украине .
ФБР взяло на себя важную роль в борьбе с этим вредоносным ПО, проведя расследование, которое привело к аресту доменного имени toknowall.com, которое якобы использовалось для перенаправления запросов с этапа 1 вредоносного ПО, что позволяло ему находить и устанавливать копии этапов 2 и 3. [4] Министерство юстиции США также обязало сайт Photobucket отключить известные URL-адреса, используемые для распространения вредоносного ПО этапа 2. [7] [13]
25 мая 2018 года ФБР рекомендовало пользователям перезагрузить свои устройства, подверженные риску. [14] Это временно удалит 2-й и 3-й этапы вредоносного ПО. 1-й этап останется, что заставит маршрутизатор попытаться повторно загрузить полезную нагрузку и снова заразить маршрутизатор. Однако до рекомендации Министерство юстиции США изъяло веб-конечные точки, которые вредоносное ПО использует для установки 2-го этапа.
Без этих URL-адресов вредоносная программа должна полагаться на резервный сокет-слушатель для установки Этапа 2. Этот метод требует, чтобы системы управления и контроля субъекта угрозы связывались с каждой системой для установки Этапа 2, что увеличивает риск идентификации субъекта угрозы. [7] ФБР также рекомендовало пользователям отключить удаленное управление на своих устройствах и обновить прошивку. Обновление прошивки удаляет все стадии вредоносной программы, хотя возможно, что устройство может быть повторно заражено. [14]
ФБР заявило, что это поможет им найти серверы, распределяющие полезную нагрузку. [15] [16] [3]