Ars Technica · Разработка · 3 ч назад
Тысячи потребительских роутеров взломаны российскими военными
Маршрутизаторы с истекшим сроком эксплуатации в домах и небольших офисах взломаны в 120 странах.
Подробности
НАПРАВЛЕНИЕ НА МАРШРУТИЗАТОРЫ SOHO Тысячи потребительских маршрутизаторов взломаны российскими военными. Маршрутизаторы с истекшим сроком эксплуатации в домах и небольших офисах взломаны в 120 странах.
По оценкам исследователей из Black Lotus Labs компании Lumen Technologies, примерно от 18 000 до 40 000 потребительских маршрутизаторов, в основном производства MikroTik и TP-Link, расположенных в 120 странах, были взломаны в инфраструктуру, принадлежащую APT28, группе передовых угроз, входящей в состав российской военной разведки, известной как ГРУ. Эта группа угроз действует уже как минимум два десятилетия и стоит за десятками громких хакерских атак, направленных против правительств по всему миру. APT28 также отслеживается под такими именами, как Pawn Storm, Sofacy Group, Sednit, Tsar Team, Forest Blizzard и STRONTIUM.
Небольшое количество маршрутизаторов использовалось в качестве прокси для подключения к гораздо большему количеству других маршрутизаторов, принадлежащих министерствам иностранных дел, правоохранительным органам и правительственным учреждениям, за которыми APT28 хотел шпионить. Затем группа использовала свой контроль над маршрутизаторами, чтобы изменить DNS-запросы для избранных веб-сайтов, включая, по словам Microsoft, домены службы 365 компании.
«Известная сочетанием передовых инструментов, таких как модель большого языка (LLM) «LAMEHUG», с проверенными, давними методами, Forest Blizzard последовательно совершенствует свою тактику, чтобы опережать защитников», — пишут исследователи Black Lotus. «Их предыдущие и нынешние кампании подчеркивают как их технологическую сложность, так и их готовность вернуться к классическим методам атак даже после публичного разоблачения, подчеркивая постоянный риск, который этот субъект представляет для организаций по всему миру».
Чтобы взломать маршрутизаторы, злоумышленники использовали старые модели, которые не были исправлены от известных уязвимостей безопасности. Затем они изменили настройки DNS для выбранных доменов и использовали протокол динамической конфигурации хоста для распространения их на рабочие станции, подключенные к маршрутизатору. Когда подключенные устройства посещали выбранные домены, их соединения проксировались через вредоносные серверы, прежде чем достичь намеченного пункта назначения.