Видеонекромантия
Ботнет FreakOut, также известный как Necro и N3Cr0m0rPh, нацелился на цифровые магнитофоны Visual Tools DVR, использующиеся в системах видеонаблюдения.
Эксперты Juniper Threat Labs обнаружили, что ботнет начал использовать экспериментальный эксплойт к уязвимости в VTDVX16 4.2.28.0 для подгрузки в эти устройства криптомайнеров Monero.
Ботнет FreakOut/Necro появился на радарах экспертов по безопасности в ноябре 2020 г. Изначально он создавался для DDoS-атак и криминального майнинга криптовалют. Впоследствии его функциональность заметно расширилась. Он может устанавливать руткит в Windows, маскировать свою инфраструктуру с помощью алгоритма генерации доменных имен, распространяться с помощью эксплойтов или брутфорса, а также заражать файлы HTML, JS, PHP. Из недавних версий пропал SMB-сканер, использовавшийся еще весной 2021 г., а статический адрес контрольного сервера сменился на динамический.
Основной скрипт ботнета написан на Python и срабатывает под Windows и Linux. Ботнет прицельно сканирует порты 22, 80, 443, 8081, 7001, и если они доступны, он разворачивает атаку.
Старый эксплойт
Кроме DVRVisualTools, текущая версия FreakOut способна атаковать целый ряд различных устройств, используя эксплойты к таким уязвимостям как CVE-2020-15568 (в TerraMasterTOS до версии 4.1.29), CVE-2021-2900 (затрагивает GenexisPlatinum 4410 2.1 P4410-V2-1.28), CVE-2020-25494 (затрагивает XinuosOpenserverv5 andv6), CVE-2020-28188 (в TerraMasterTOS до версии 4.2.06 включительно) и CVE-2019-12725 (встречается в Zeroshell 3.9.0).
Уязвимости в VisualToolsDVR пока не присвоено. Эксплойт к ней, впрочем, доступен с июля 2021 г., и именно им злоумышленники и пользуются.
В июне 2021 г. эксперты отметили использование ботнетом Python-версий эксплойтов EternalBlue (CVE-2017-0144) и EternalRomance (СМУ-2018-0147).
Кроме того, эта версия ботнета способна устраивать DDoS-атаки, используя прокси TORSOCKS. Также на атакованные устройства устанавливается генератор криптовалюты Monero.
«Цифровые видеомагнитофоны — довольно интересная мишень для создателей ботнетов интернета вещей, — говорит Михаил Зайцев, эксперт по информационной безопасности компании SEQ. — Они неплохо подходят и для криминального майнинга криптовалют, и для запуска DDoS-атак, поскольку довольно часто с ними используется канал связи с большой пропускной способностью. И, как и многие другие устройства интернета вещей, DVR нередко испытывают проблемы с защищенностью и обновлением прошивок, так что с ними работают и довольно старые эксплойты. Это и наблюдается в данном случае».
Поделиться
