В конце мая общественность всколыхнуло известие о масштабной вредоносной кампании, в рамках которой злоумышленники заразили высокотехничным ПО VPNFilter по меньшей мере 500 тыс. маршрутизаторов и устройств хранения данных по всему миру. Как предполагалось, кампания была связана с подготовкой масштабной кибератаки на Украину в преддверии финала футбольной Лиги чемпионов в Киеве 26 мая. Сотрудникам Федерального бюро расследований США удалось обезвредить ботнет, но, судя по всему, организаторы кампании не намерены останавливаться.
По данным экспертов JASK и GreyNoise Intelligence, операторы VPNFilter создали новый ботнет, атакующий маршрутизаторы Mikrotik с открытым портом 2000, причем злоумышленников интересуют исключительно устройства, расположенные в украинских сетях. Данный факт не стал сюрпризом для исследователей — в начале первой кампании VPNFilter инфицировал маршрутизаторы и NAS-устройства по всему миру, однако с 8 мая переключился на роутеры в Украине. Более того, инфраструктура предыдущей версии ботнета включала C&C-сервер, предназначенный для управления только украинскими маршрутизаторами, отдельно от основного ботнета.
VPNFilter считается одной из наиболее «продвинутых» программ для инфицирования IoT-устройств. Она включает три типа вредоносных модулей: первый обеспечивает присутствие вредоноса на устройстве даже после перезагрузки, функционал второго напоминает троян для удаленного доступа, а третий модуль добавляет дополнительные функции. По словам экспертов, VPNFilter способен стирать прошивку, проводить мониторинг локального трафика, поддерживать связь через Tor и осуществлять сканирование на предмет трафика ICS-устройств в локальной сети. Как правило, подобный функционал характерен для вредоносного ПО, используемого правительственными хакерскими группировками.
Как полагают ФБР и Министерство внутренней безопасности США, за кампанией VPNFilter может стоять группировка APT28, также известная как Fancy Bear, предположительно связанная с РФ.

Источник: securitylab.ru