VPNFilter es una botnet desarrollada por el auspicio del gobierno Ruso, la cual infecto hace unos días a mas de 500.000 routers a nivel mundial. Con el apoyo del FBI, se logró desbaratar la botnet, pero según estudios, esta botnet ya estaría de vuelta.
VPNFilter, a diferencias de otras botnet maneja dos etapas durante su infección. La primera etapa consiste en causar persistencia dentro de los dispositivos que afecta, haciendo que esta logre resistir un reinicio de sistema, haciendo que la única opción que tenga el administrador del dispositivo infectado sea restaurar a modo de fabrica el equipo, y una segunda etapa en la cual ejecuta todas las tareas comunes que existen en una botnet.
Nuevamente los investigadores de Talos detectaron una nueva variación del malware que afecta ahora a equipos Asus, D-LINK, Huawei, Ubiquiti, QNAP,UPVel y ZTE.
La siguiente lista muestra los equipos que VPNFilter ha logrado vulnerar:
|
Vendor
|
Device / Series
|
|
ASUS
|
RT-AC66U*; RT-N10 series*, RT-N56 series*
|
|
D-Link
|
DES-1210-08P*; DIR-300 Series*; DSR-250, 500, and
1000 series*
|
|
Huawei
|
HG8245*
|
|
Linksys
|
E1200; E1500; E3000*; E3200*; E4200*; RV082*;
WRVS4400N
|
|
Microtik
|
CCR1009*; CCR1x series; CRS series*; RB series*;
STX5*
|
|
Netgear
|
DG834*; DGN series*; FVS318N*; MBRN3000*;
R-series; WNR series*; WND series*; UTM50*
|
|
QNAP
|
TS251; TS439 Pro; other devices running QTS
software
|
|
TP-Link
|
R600VPN; TL-WR series*
|
|
Ubiquiti
|
NSM2*; PBE M5*
|
|
UPVEL
|
Unknown devices
|
|
ZTE
|
ZXHN H108N*
|
Para equipos manufacturados por estas empresas, el malware realiza el ataque mediante vulnerabilidades conocidas y utilizando credenciales por defecto de los equipos, posterior a esto explotan una vulnerabilidad de día cero.
SSLER - El módulo que permite Men In the Middle.
En los párrafos anteriores, comentábamos que VPNFilter utiliza dos etapas en la infección, una de persistencia y otra de operaciones. Esta nueva versión ademas posee una nueva y tercera etapa llamada SSLER que permite al atacante poder realizar un ataque Men In The Middle en las victimas.
El Modulo SSLER permite extraer información de la victima mediante inyección Javascript, interceptando todo el tráfico del equipo que este destinado al puerto 80. Al igual que las etapas predecesoras de este malware SSLER también posee persistencia al reinicio.
Posterior a la infección el malware crea redirecciones por medio de IPTables haciendo que todo el tráfico que se dirija al puerto TCP/80 sea redirigido a un proxy interno propio del malware con puerto TCP/8888, para poder realizar este ataque, tipo men in the middle.
Este modulo proxy, realiza un ataque SSLStrip, haciendo que el tráfico que este por HTTPS sea degradado a HTTP, logrando que el tráfico de la victima sea visto en texto plano.
Módulo dstr
VPNFilter también tiene una capacidad destructiva (módulo dstr) que se puede utilizar para inutilizar un dispositivo infectado mediante la eliminación de los archivos necesarios para el funcionamiento normal del dispositivo.
El malware activa un killswitch para routers, donde primero se auto-remueve, antes de eliminar el resto de los archivos en el sistema [llamado vpnfilter, security y tor], posiblemente en un intento de ocultar su presencia durante el análisis forense.
Esta capacidad se puede activar en máquinas de víctimas individuales o en masa, lo que podría cortar el acceso a Internet para cientos de miles de víctimas en todo el mundo.
Como se menciono anteriormente, no sirve de nada realizar el reinicio del equipo, ya que el malware tiene la capacidad de resistir un reinicio, por tal razón, la única forma de poder evitar que tu equipo quede inutilizado, es restaurar el equipo de fábrica y ver la posibilidad de actualizar el firmware en caso de que el fabricante haya liberado una nueva versión.
