Тайваньский производитель сетевого оборудования DrayTek предупредил о том, что злоумышленники эксплуатируют уязвимость нулевого дня в роутерах компании и подменяют настройки DNS.

Компания признала проблему после того, как пользователи Twitter стали массово жаловаться на изменение настроек DNS на своих устройствах, которые после атак начинали указывать на неизвестный сервер, расположенный по адресу 38.134.121.95. Вероятнее всего, таким образом атакующие пытались осуществить атаку man-in-the-middle, к примеру, для перенаправления пострадавших на фальшивые версии легитимных сайтов.

Представители DrayTek опубликовали сразу два бюллетеня безопасности, немного отличающихся друг от друга. Первым стал бюллетень, размещенный на британском сайте компании. Он подробно рассказывает, как изменить настройки DNS на правильные, а также гласит, что разработчики уже готовят новую прошивку, защищающую от атак. Вторым стал более детальный бюллетень, размещенный на международной версии сайта. Здесь представители DrayTek обнародовали полный список уязвимых устройств и их прошивок, сообщив, что патчи выйдут в ближайшие дни:

• Vigor2120, прошивка 3.8.8.2;
• Vigor2133, прошивка 3.8.8.2;
• Vigor2760D, прошивка 3.8.8.2;
• Vigor2762, прошивка 3.8.8.2;
• Vigor2832, прошивка 3.8.8.2;
• Vigor2860, прошивка 3.8.8;
• Vigor2862, прошивка 3.8.8.2;
• Vigor2862B, прошивка 3.8.8.2;
• Vigor2912, прошивка 3.8.8.2;
• Vigor2925, прошивка 3.8.8.2;
• Vigor2926, прошивка 3.8.8.2;
• Vigor2952, прошивка 3.8.8.2;
• Vigor3200, прошивка 3.8.8.2;
• Vigor3220, прошивка 3.8.8.2;
• VigorBX2000, прошивка 3.8.1.9;
• Vigor2830nv2, прошивка 3.8.8.2;
• Vigro2830, прошивка 3.8.8.2;
• Vigor2850, прошивка 3.8.8.2;
• Vigor2920, прошивка 3.8.8.2.

Изначально ИБ-эксперты предполагали, что злоумышленники попросту брутфорсят роутеры DrayTek или используют учетные данные по умолчанию, которые пользователи могли не поменять. Эти теория оказалась неверной, так как многие владельцы пострадавших девайсов сообщили, что меняли логины и пароли от своих устройств. К тому же на Reddit пострадавшие пользователи рассказывали о том, что в логах вообще нет данных о каких-либо входах в систему, то есть эксплоит атакующих не требует даже этого.

Издание Bleeping Computer отмечает, что, согласно информации с форума Sky Community, атаки на роутеры DrayTek длятся уже около двух недель. По данным Shodan, в интернете можно обнаружить порядка 800 000 устройств DrayTek, однако неизвестно, какой процент от этого количества уязвим перед эксплоитом атакующих.

Источник: xakep.ru