یک کمپین بدافزار جدید روترهای کسب و کارهای کوچک را برای سرقت داده ها هدف قرار می دهد.
یک کمپین بدافزار جدید، معروف به “Hiatus”، روترهای مشاغل کوچک را برای سرقت داده ها و جاسوسی از قربانیان هدف قرار می دهد.
کمپین بدافزار جدید “Hiatus” به روترهای تجاری حمله می کند
یک کمپین بدافزار جدید با نام “Hiatus” روترهای مشاغل کوچک را با استفاده از بدافزار HiatiusRAT هدف قرار می دهد.
در 6 مارس 2023، شرکت تحقیقاتی Lumen یک پست وبلاگی منتشر کرد که در مورد این کمپین مخرب بحث می کرد. در پست وبلاگ Lumen، بیان شد که “Lumen Black Lotus Labs® کمپین دیگری را شناسایی کرد که قبلاً دیده نشده بود که شامل روترهای در معرض خطر است.”
HiatusRAT نوعی بدافزار است که به عنوان تروجان دسترسی از راه دور (RAT) شناخته می شود. تروجان های دسترسی از راه دور توسط مجرمان سایبری برای به دست آوردن دسترسی از راه دور و کنترل یک دستگاه هدف استفاده می شود. به نظر می رسد جدیدترین نسخه بدافزار HiatusRAT از ژوئیه 2022 مورد استفاده قرار گرفته است.
در پست وبلاگ Lumen، همچنین بیان شد که “HiatusRAT به عامل تهدید اجازه می دهد تا از راه دور با سیستم تعامل داشته باشد، و از عملکردهای از پیش ساخته شده – که برخی از آنها بسیار غیر معمول هستند – برای تبدیل ماشین در معرض خطر به یک پروکسی مخفی برای عامل تهدید استفاده می کند. “
با استفاده از ابزار خط فرمان “tcpdump”، HiatusRAT می تواند ترافیک شبکه را که از روی روتر مورد نظر عبور می کند، شناسایی کند و امکان سرقت داده ها را فراهم کند. Lumen همچنین حدس زد که اپراتورهای مخرب درگیر در این حمله قصد دارند از طریق این حمله یک شبکه پروکسی مخفی راه اندازی کنند.
HiatusRAT انواع خاصی از روترها را هدف قرار می دهد
بدافزار HiatusRAT برای حمله به روترهای پایان عمر DrayTek Vigor VPN، به ویژه مدل های 2690 و 3900 که دارای معماری i386 هستند، استفاده می شود. اینها روترهایی با پهنای باند بالا هستند که توسط مشاغل برای ارائه پشتیبانی VPN به کارگران راه دور استفاده می شوند.
این مدل‌های روتر معمولاً توسط صاحبان مشاغل کوچک تا متوسط مورد استفاده قرار می‌گیرند که در معرض خطر ویژه قرار گرفتن در این کمپین هستند. محققان نمی دانند که چگونه این روترهای DrayTek Vigor در زمان نگارش این مقاله نفوذ کرده اند.
بیش از 4000 دستگاه در اواسط فوریه در برابر این کمپین بدافزار آسیب پذیر بودند، به این معنی که بسیاری از مشاغل هنوز در معرض خطر حمله قرار دارند.
مهاجمان فقط چند روتر DrayTek را هدف قرار می دهند
از بین تمام روترهای DrayTek 2690 و 3900 که امروزه به اینترنت متصل هستند، Lumen میزان آلودگی را تنها 2 درصد گزارش کرده است.
این نشان می‌دهد که اپراتورهای مخرب تلاش می‌کنند ردپای دیجیتالی خود را به حداقل برسانند تا نوردهی را محدود کنند و از شناسایی اجتناب کنند. لومن همچنین در پست وبلاگ فوق پیشنهاد کرد که این تاکتیک توسط مهاجمان برای “حفظ نقاط حیاتی حضور” نیز استفاده می شود.
HiatusRAT یک خطر مداوم دارد
در زمان نگارش این مقاله، HiatusRAT برای بسیاری از مشاغل کوچک خطراتی را به همراه دارد و هزاران روتر هنوز در معرض این بدافزار هستند. زمان نشان خواهد داد که چند روتر DrayTek با موفقیت در این کمپین مخرب هدف قرار گرفته اند.