Автор малвари BrickerBot утверждает, что вывел из строя более 60 000 модемов в Индии
Создатель вредоноса BrickerBot продолжает поддерживать эксклюзивную связь с журналистами издания Bleeping Computer.
Ранее разработчик малвари умышленно «калечащей» IoT-устройства, известный под псевдонимом janit0r или The Doctor, уже давал изданию эксклюзивное интервью. Тогда хакер рассказывал, что рассматривает BrickerBot как форму “химиотерапии для интернета”, а о себе самом иногда в шутку думает как о Докторе. «Химиотерапия – это жесткое лечение и никто в трезвом уме не назначит ее здоровому пациенту, но интернет серьезно заболел в третьем и четвертом квартале 2016 года, а обычных средств оказалось недостаточно», — говорил хакер, ничуть не сожалея о сотнях тысяч сломанных его малварью устройств.
Теперь janit0r рассказал о новых атаках, на этот раз направленных на двух государственных индийских провайдеров: Bharat Sanchar Nigam Limited (BSNL) и Mahanagar Telephone Nigam Limited (MTNL). С 25 по 29 июля 2017 года пользователи этих компаний массово жаловались на постоянные потери соединения, тогда как их модемы и роутеры «зависали», демонстрируя непрерывно горящие красные светодиоды.
Представители BSNL уже сообщили местной прессе (1,2,3), что проблемы со связью были вызваны атакой некой малвари. В результате инцидента пострадали пользователи на севере, северо-востоке и юге Индии. Компания сообщала, что перебои наблюдались в работе 60 000 устройств, то есть затронули 45% всех широкополосных соединений BSNL. Представители MTNL также подтвердили, что их устройства находятся под атакой, однако не сообщили каких-либо подробностей или цифр. Зато об атаках на BSNL известно немало.
28 июля 2017 года, в прошлую пятницу, представители BSNL сообщали, под атакой находятся только те модемы, пользователи которых не поменяли логин и пароль по умолчанию (admin/admin). Из-за этого примерно 2000 клиентов провайдера попросили срочно сменить учетные данные.
30 июля 2017 года, информация, поступающая от BSNL, изменилась. Оказалось, что малварь поразила 90% всех недавно установленных модемов с дефолтными логинами и паролями (точное количество пострадавших устройств не сообщалось).
Пока службы технической поддержки BSNL и MTNL пытались справиться со шквалом обращений и все выходные помогали пользователям сбрасывать модемы и роутеры к заводским настройками, janit0r связался с журналистами Bleeping Computer и взял ответственность за происходящее на себя. Разработчик BrickerBot предоставил журналистам и другие учетные данные от устройств BSNL, помимо admin/admin, публиковать которые ресурс не посчитал нужным.
Также автор малвари указал и на корень проблемы. Дело в том, что устройства BSNL и MTNL разрешают подключения к порту 7547, который используется для работы TR069, протокола, посредством которого сотрудники компании-провайдера могут передавать команды устройству и изменять его настройки. Фактически любой желающий может подключиться к порту 7547 и атаковать устройства в сетях BSNL и MTNL. Более того, хакер напоминает, что TR069 имеет ряд уязвимостей, включая проблему, допускающую выполнение на устройстве произвольного кода.
В заключение создатель BrickerBot сообщил, что у него «на примете» уже есть новая жертва. По его словам, пакистанская компания Pakistan Telecommunication Company Limited (PTCL) следит за безопасностью своих устройств еще хуже, чем BSNL.
Создатель вредоноса BrickerBot продолжает поддерживать эксклюзивную связь с журналистами издания Bleeping Computer.
Ранее разработчик малвари умышленно «калечащей» IoT-устройства, известный под псевдонимом janit0r или The Doctor, уже давал изданию эксклюзивное интервью. Тогда хакер рассказывал, что рассматривает BrickerBot как форму “химиотерапии для интернета”, а о себе самом иногда в шутку думает как о Докторе. «Химиотерапия – это жесткое лечение и никто в трезвом уме не назначит ее здоровому пациенту, но интернет серьезно заболел в третьем и четвертом квартале 2016 года, а обычных средств оказалось недостаточно», — говорил хакер, ничуть не сожалея о сотнях тысяч сломанных его малварью устройств.
Теперь janit0r рассказал о новых атаках, на этот раз направленных на двух государственных индийских провайдеров: Bharat Sanchar Nigam Limited (BSNL) и Mahanagar Telephone Nigam Limited (MTNL). С 25 по 29 июля 2017 года пользователи этих компаний массово жаловались на постоянные потери соединения, тогда как их модемы и роутеры «зависали», демонстрируя непрерывно горящие красные светодиоды.
Представители BSNL уже сообщили местной прессе (1,2,3), что проблемы со связью были вызваны атакой некой малвари. В результате инцидента пострадали пользователи на севере, северо-востоке и юге Индии. Компания сообщала, что перебои наблюдались в работе 60 000 устройств, то есть затронули 45% всех широкополосных соединений BSNL. Представители MTNL также подтвердили, что их устройства находятся под атакой, однако не сообщили каких-либо подробностей или цифр. Зато об атаках на BSNL известно немало.
28 июля 2017 года, в прошлую пятницу, представители BSNL сообщали, под атакой находятся только те модемы, пользователи которых не поменяли логин и пароль по умолчанию (admin/admin). Из-за этого примерно 2000 клиентов провайдера попросили срочно сменить учетные данные.
30 июля 2017 года, информация, поступающая от BSNL, изменилась. Оказалось, что малварь поразила 90% всех недавно установленных модемов с дефолтными логинами и паролями (точное количество пострадавших устройств не сообщалось).
Пока службы технической поддержки BSNL и MTNL пытались справиться со шквалом обращений и все выходные помогали пользователям сбрасывать модемы и роутеры к заводским настройками, janit0r связался с журналистами Bleeping Computer и взял ответственность за происходящее на себя. Разработчик BrickerBot предоставил журналистам и другие учетные данные от устройств BSNL, помимо admin/admin, публиковать которые ресурс не посчитал нужным.
«Устройства BSNL небезопасны в целом и [представители] BSNL не хотят честно говорить о ситуации, обвиняя своих клиентов в халатности, — пишет janit0r и говорит, что изменение логина и пароля по умолчанию не поможет. — Им принадлежат сотни тысяч модемов с незащищенными интерфейсами TR069 (TR064), которые позволяют кому угодно перенастроить устройство для man-in-the-middle атак или атак на DNS. Пострадавшие пользователи не могли противопоставить подобным атакам практически ничего, так как сеть BSNL и их оборудование небезопасны по своей сути».
Также автор малвари указал и на корень проблемы. Дело в том, что устройства BSNL и MTNL разрешают подключения к порту 7547, который используется для работы TR069, протокола, посредством которого сотрудники компании-провайдера могут передавать команды устройству и изменять его настройки. Фактически любой желающий может подключиться к порту 7547 и атаковать устройства в сетях BSNL и MTNL. Более того, хакер напоминает, что TR069 имеет ряд уязвимостей, включая проблему, допускающую выполнение на устройстве произвольного кода.
«Атака на индийских провайдеров не имеет никакого отношения к политике или национальности. Это лишь побочный эффект от операции по очистке мировой сети от уязвимых сетевых устройств. Интернет-провайдеры, пожалуйста, фильтруйте порты пользовательских устройств. Ваши клиенты заслуживают безопасности, а я заслуживаю перерыва в уборке вашего IoT-мусора!», — заявляет janit0r.
В заключение создатель BrickerBot сообщил, что у него «на примете» уже есть новая жертва. По его словам, пакистанская компания Pakistan Telecommunication Company Limited (PTCL) следит за безопасностью своих устройств еще хуже, чем BSNL.