Trojan.Rbrute взламывает Wi-Fi-роутеры

Специалисты компании «Доктор Веб» исследовали вредоносную программу Trojan.Rbrute, предназначенную для взлома паролей Wi-Fi-роутеров методом перебора (brute force), а также подмены адресов DNS-серверов, указанных в настройках этих устройств. Злоумышленники используют данную вредоносную программу для распространения другого троянца, известного под именем Win32.Sector.

Запустившись на инфицированном компьютере, работающем под управлением Windows, Trojan.Rbrute устанавливает соединение с удаленным сервером и ожидает от него соответствующих команд. В качестве одной из них троянец получает диапазон IP-адресов для выполнения сканирования. Вредоносная программа обладает функционалом по подбору паролей к следующим моделям Wi-Fi-роутеров: D-Link DSL-2520U, DSL-2600U, TP-Link TD-W8901G, TD-W8901G 3.0, TD-W8901GB, TD-W8951ND, TD-W8961ND, TD-8840T, TD-8840T 2.0, TD-W8961ND, TD-8816, TD-8817 2.0, TD-8817, TD-W8151N, TD-W8101G, ZTE ZXV10 W300, ZXDSL 831CII и некоторым другим. Фактически, троянец способен выполнять две команды:

  1. сканирование сети по заданному диапазону IP-адресов;
  2. перебор паролей по словарю.

При этом перечисленные команды не взаимосвязаны и могут выполняться троянцем по отдельности. Если по одному из опdnsрошенных IP-адресов обнаруживается работающий роутер, Trojan.Rbrute получает оттуда веб-страницу, определяет модель устройства с использованием тега realm=\", и рапортует об этом событии на управляющий сервер.

Также троянец может получить команду на подбор пароля к обнаруженному роутеру по словарю — такое задание содержит все необходимые исходные данные: IP-адрес цели, DNS для подмены и словарь паролей. В качестве логина Trojan.Rbrute использует значения admin или support.

Если аутентификация с подобранным сочетанием логина и пароля прошла успешно, троянец рапортует на удаленный сервер об успешном факте взлома и посылает роутеру запрос на изменение адресов зарегистрированных в его настройках DNS-серверов. В результате при попытке открытия в окне браузера различных веб-сайтов пользователь может быть перенаправлен на другие ресурсы, специально созданные злоумышленниками. Эта схема в настоящее время используется киберпреступниками для расширения численности бот-сети, созданной с использованием вредоносной программы Win32.Sector.

В целом используемая злоумышленниками схема выглядит следующим образом.

  1. На компьютер, уже инфицированный троянцем Win32.Sector, с использованием этой вредоносной программы загружается Trojan.Rbrute.
  2. Trojan.Rbrute получает с управляющего сервера задания на поиск Wi-Fi-маршрутизаторов и данные для подбора паролей к ним.
  3. В случае успеха Trojan.Rbrute подменяет в настройках роутера адреса DNS-серверов.
  4. При попытке подключения к Интернету пользователь незараженного компьютера, использующий подключение через скомпрометированный маршрутизатор, перенаправляется на специально созданную злоумышленниками веб-страницу.
  5. С этой страницы на компьютер жертвы загружается троянец Win32.Sector и инфицирует его.
  6. Впоследствии Win32.Sector может загрузить на вновь инфицированный ПК копию троянца Trojan.Rbrute. Цикл повторяется.

Сигнатура Trojan.Rbrute добавлена в вирусные базы Dr.Web. Специалисты компании «Доктор Веб» рекомендуют владельцам Wi-Fi-роутеров не использовать на своих устройствах настройки по умолчанию и устанавливать в административном интерфейсе роутеров сложные пароли, которые затруднят их взлом методом простого перебора.

06.09.2014 в 20:09
Обсудить у себя 0
Комментарии (0)
Чтобы комментировать надо зарегистрироваться или если вы уже регистрировались войти в свой аккаунт.

Войти через социальные сети:

mefisto13
mefisto13
сейчас на сайте
36 лет (03.12.1980)
icq: 380592332
mefisto13@live.ru
Читателей: 2 Опыт: 0 Карма: 1
HotLogRSSjzeTA.png
Рейтинг Сайтов YandeG Интернет-статистика
Теги
33 action activex add-in admin adobe adroid advanced adware agent alcogrind alternative metal american express android android.backdoor android.bankbot android.bankbot.33.origin android.muldrop android.smsbot android.smsforward android.smssend android.smsspy android.spyandroid.tempur antivirus api apple apple maps aspxor atmospheric metal av b2b backbot battle metal bios bitcoin bitguard blackened metal black metal brutal metal bye.im capperkiller cbs cisco ciscompeaddin creeper crossover metal crustgrind cureit cybergrind dark metal ddos ddos-атаки deathcore death metal depressive metal dns doom metal dos dr drweb dr.web dwz.cn endpoint endpoint security epic metal ethernet experimental metal express extreme metal facebook fakeinst.ef fippkiller flash flashfake removal tool folk metal funeral metal funnygrind goo.gl google google+ goregrind gothic metal grindcore groove metal hangouts hardcore hard rock heavy metal hps imei include industrial metal instaler ios ip it-инфраструктура it-ресурсы java ka.do kaspersky kaspersky rescue disk + windowsunlocker kaspersky security kaspersky virus removal tool kateskiller kidokiller ksn ( ksn ) lab ledhost.org led-vostok linux love metal lovesan mac os x mail marijuana master card mathcore me2.do meeting mefisto13 melodic metal metalcore modern metal monitoring movie neoclassical metal net network nix noisegrind novilab security nu metal october ocx odnoklassniki origin pagan metal paypal pin pixel bender place plugin pornogrind post-hardcore power metal progressive metal protect protection psychedelic metal rakhnidecryptor rbrute rectordecryptor red rutkit scada-система script sector security service pack shitgrind skimer skype sms smsbot smssend space spam speed metal stoner metal swf symphonic metal system tdsskiller technical metal test thrashcore thrash metal trojan trojan.cointhief trojan.skimer trusted tweeter unix update usability viber video viking metal virtual virus viruslist.com visa vkontakte vostok-led web welchia whatsapp wifi wi-fi win32 windbg windows windows 8 windows 98 worm xoristdecryptor youtube агент администрирование адресс азия аналитика аналитики антивирус асу асуп асу тп атака атаки базы банк банки банкинг банкомат бегущая безопасность безопасные бизнес блок блокировка борьба веб взлом виагра видео виртуализация вирус вирусы вложения война вор вредоносное по вредоносные вредоносный глобальная город дайджест данные двор декомпиляция деньги дети диоды доктор доктор веб дом дос драйвер женщины жертва жертвы жильё загрузки записки заражение защита зловред злоумышленники идентификатор известия интерактивная интернет информация инфраструктура исследования источник итоги калибровка карта касперский квартиа кибератаки кибермошенники киберпреступник киберпреступники киберпреступность киберугроза киберугрозы кибершпион китай клиенты код коммуналка комнаты компания комплекс компьютер компьютеры контроль корпорация кошелёк кража кражи кровь кроссплатформа лаборатория лицензия люди мвд мессенджеров методика метро механизм министрество мифи мобильные мобильный модель модификация модули модуль мошенники мужчины мусора наблюдение наказание налог настройка настройки нигерийские письма никс новости облачные обнаружение оборона оксиджен олимпиада онлайн оперативная оператор операции операционная организация ос android память персональные письма письмо плагин планшет платежи платформа площадь по поддержка подозрительные подписка поиск пользователи порошенко портал похищение почта права правила предосное преступность приложение приложения программа программы програмы продажа продукция промышленность протокол процесс процесы развитие район расправа рассылка рейтинг реклама ремонт ресурс решение россия роутер рунет руткит сайт сампл сборка свет светодиоды сервер сервис сети сеть сигнатура синдикат система слежка смартфон смерть смс соманда сообщение сообщения софт софтвер социальные соцсети сочи спам спамер специалисты спецоборудование сталинский статистика строка счета сша тайвань телефон тестирование технологии тех поддержка техподдержка трафик тройян троян троянец убийство убийца угроза угрозы украина украинцы устройства устройство утилиты уязвимость файл файлы физическая фиксирует финансы фишеры фишинг функции халява черви червь щит эвристика эксперты эксплойт эксплойты электронные элемент лизинг эталон южная корея ядро ярлык
Я в клубах
Служба помощи MyPage.Ru Пользователь клуба
все 2 Мои друзья