[via]
Спецслужбы Великобритании и США раскрыли подробности о новом вредоносном ПО для бот-сети под названием Cyclops Blink, которое приписывается финансируемой Россией хакерской группировке Sandworm работающей начиная с 2019 года.
«Cyclops Blink, по-видимому, является заменой вредоносного ПО VPNFilter, раскрытой в 2018 году, которая использовала сетевые устройства, в основном маршрутизаторы малого офиса/домашнего офиса (SOHO) и сетевые устройства хранения данных (NAS)», — заявили агентства. «Как и в случае с VPNFilter, развёртывание Cyclops Blink также представляется неизбирательным и широко распространённым».
Sandworm, также известная как Voodoo Bear, – группировка о которой известно по крайней мере с 2008 года. Она уделяет особое внимание атакам на предприятия в Украине и, предположительно, стоит за нападениями на украинский энергетический сектор, которые привели к массовым отключениям электроэнергии в конце 2015 года.
Впервые VPNFilter был задокументирован Cisco Talos в мае 2018 года, в описании которого говорится, что это «сложная модульная система вредоносного ПО», имеющая общие черты с вредоносным ПО Sandworm's BlackEnergy и обладающая возможностями для поддержки операций по сбору разведданных и кибератак.
Было установлено, что вредоносное ПО бот-сети IoT скомпрометировало более 500 000 маршрутизаторов по меньшей мере в 54 странах, нацелившись на устройства от Linksys, MikroTik, NETGEAR и TP-Link, ASUS, D-Link, Huawei, Ubiquiti, QNAP, UPVEL и ZTE.
В том же месяце правительство США объявило о захвате и уничтожении ключевого интернет-домена, используемого для атак, призвав владельцев устройств SOHO и NAS, которые могут быть заражены, перезагрузить свои устройства, чтобы временно отключить вредоносное ПО.
По состоянию на январь 2021 года анализ, проведённый компанией Trend Micro, выявил «остаточные инфекции», сохраняющиеся в тысячах сетей спустя годы после взлома VPNFilter.
Что ещё более опасно, вредоносная программа развёртывается как поддельное обновление и способна пережить перезагрузку и обновление прошивки, а связь между управляющими командами осуществляется через анонимную сеть Tor.
Выводы были сделаны в тот момент, когда Россия официально начала полномасштабную военную операцию, в то время как ИТ-инфраструктура Украины была подорвана серией DDoS-атак.
Больше интересного в нашем Telegram: https://t.me/applespbevent
Ещё по теме: