Microsoft, Mikrotik yönlendiricilerinin, komuta ve kontrol sunucuları için vekil olarak hareket etmek için Trickbot Gang tarafından saldırıya uğrayan bir tarayıcı yayınladı.
Trickbot, kimlik avı e-postaları yoluyla dağıtılan veya bir cihaza enfekte olan diğer kötü amaçlı yazılımlar tarafından bırakılan kötü amaçlı yazılım botnet'tir. Bir kez yürütüldüğünde, TrickBot, virüslü makinede çalışacak şekilde komut almak için uzak bir komut ve kontrol sunucusuna bağlanır.
Yıllardır TrickBot, enfekte bir cihaz ve komut ve kontrol sunucuları (C2) arasında bir vekil olarak hareket etmek için yönlendiriciler gibi iot cihazlarını kullandı. Bu vekiller, araştırmacıların ve kanun yaptırımlarını komuta ve kontrol altyapısını bulmalarını ve bozulmasını önlemek için kullanılır.
Microsoft'un yeni bir raporunda, araştırmacılar Trickbot çetesinin, C2 iletişimi için proxy olarak dahil etmek için çeşitli yöntemleri kullanarak hassas Mikrotik yönlendiricilerini nasıl hedeflediğini açıklar.
TrickBot işlemleri, Mikrotik yönlendiricilerine saldırırken, varsayılan kimlik bilgilerini kullanarak başlayan ve daha sonra şifreyi tahmin etmek için kaba kuvvet saldırıları gerçekleştirirken çeşitli yöntemler kullanır.
Bu ilk yöntemler yönlendiriciye erişim sağlamadıysa, tehdit aktörleri, onaylanmamış, uzaktaki saldırganların keyfi dosyaları okumalarını sağlayan CVE-2018-14847, CVE-2018-14847'yi sömürmeye çalışacaklardır. Bu güvenlik açığını kullanarak, tehdit aktörleri yönlendirici için kullanıcı kimlik bilgilerini içeren 'user.dat' dosyasını çalacaktır.
Cihaza erişim kazandıktan sonra, trafiği 449 numaralı bağlantı noktasına gönderilen trafiğe gönderilen bir ağ adresi çevirisi (NAT) kuralı oluşturmak için yerleşik '/ IP', '/ Sistem' veya '/ Aracı' komutlarını kullandılar. Uzak bir komut ve kontrol sunucusunda 80 numaralı bağlantı kurulu.
Bu IP NAT kuralını kullanarak, C2 sunucuları doğrudan tehdit analizine maruz kalmaz, ancak hala enfekte olmuş cihazlar için iletişime izin veriyor.
Microsoft'un altını çizerken, aktörler, diğer cihazlarda küçük bir anlam ifade edecek özel SSH komutlarını kullanarak, Mikrotik cihazlarında Linux tabanlı işletim sisteminin sınırlı fonksiyonları hakkında derinlemesine bir bilgiye sahip görünüyorlar.
Geçtiğimiz Aralık ayında bir ECLYPSIUM Raporu, yüz binlerce mikrotik yönlendiricinin hala kötü amaçlı yazılımlar botnetlerine karşı savunmasız olduğu, satıcıdan birkaç yıl sonra kritik kusurların varlığı konusunda uyardı.
Bu cihazlar alışılmadık derecede güçlü bir donanıma sahip olduğundan, kötü amaçlı aktörler tarafından, özellikle DDOS saldırıları gibi kaynak yoğun operasyonlarla ilgilenenler tarafından yüksek değerli hedefler olarak görülürler.
Her ne kadar güvenlik güncellemeleri yıllardır mevcut olmasına rağmen, çoğu, kimliği doğrulanmamış, uzaktan erişim ve kod yürütme kusurlarını sökerek botnet işe alımına karşı savunmasız kalır.
Mikrotik cihazlarının sahipleri, art arda 6.45.6'dan daha yeni olan Rounterolar sürümlerine yükseltmeye ve Winbox protokolünü açığa çıkarmaktan kaçındı.
Microsoft, "Bu analiz, IOT cihazlarının günümüzde gelişen tehdit ortamında güvende tutmanın önemini vurgulamanın önemini vurgulamaktadır."
Microsoft, şimdi 'Routeros-Scanner' adlı 'Routeros-Scanner' adlı bir adaletli aracı piyasaya sürdü.
Bu komut dosyası aşağıdaki bilgiler için Mikrotik cihazlarını tarayacaktır:
Ek olarak, Microsoft, daha da sabitlemek için Mikrotik aygıtlarındaki aşağıdaki adımları göstermenizi önerir:
Şubat 2022'de, Trickbot operasyonu kapatıldı ve geliştiriciler artık Bazaarbackdoor ve çapa aileleri gibi gizli kötü amaçlı yazılımlar üzerinde çalışmak için Conti Ransomware çetesi ile çalışıyorlar.
Trickbot geçmişte bozulduğunda ve daha sonra tekrar başlatıldığında, tehdit aktörlerinin gelecekte operasyonu canlandırdığını görebiliriz. Bu nedenle, cihazların düzgün bir şekilde güvence altına alınmasını sağlamak çok önemlidir, böylece daha sonraki kampanyalarda veya diğer kötü amaçlı yazılım grupları tarafından taciz edilemezler.
Bu arada, bir Mikrotik aygıtı kullanıyorsanız, Microsoft'un enfeksiyon tarayıcısını, kapanış nedeniyle tersine çevrilmeyeceği ve gelecekte yeniden etkinleştirilebileceği için Microsoft'un enfeksiyon tarayıcısını kullanmanız önerilir.
Microsoft: Ukrayna, işgal öncesi Foxblade kötü amaçlı yazılım saatleriyle vurdu.
Google, bir Conti Ransomware Access Broker'ın taktiklerini belirtir
Bu tam paketi ile Windows Sysadmin Becerilerinizi Keskinleştirin
Microsoft, Internet Explorer'ın Haziran ayında Demeğinin Demiyetini hatırlatıyor
ASUS Cyclops'un Uyarıları Yanıp Kazanmak Kötü Amaçlı Yazılım Saldırılarını Hedefleme Yönlendiricileri
Kaynak: Bleeping Computer