การตรวจจับและกำจัดมัลแวร์ VPNFilter: การป้องกันแบบทีละขั้นตอน

ไม่ใช่ มัลแวร์ ทุกตัวที่สร้างเท่ากัน หลักฐานหนึ่งคือ การมีอยู่ของ มัลแวร์ VPNFilter สายพันธุ์มัลแวร์ Router ใหม่ที่มีคุณสมบัติทำลายล้าง คุณสมบัติเฉพาะตัวคือ มันรอดชีวิตหลัง Reboot ไม่เหมือนภัยคุกคาม IoT อื่นๆ ส่วนใหญ่

ให้บทความนี้แนะนำคุณระบุมัลแวร์ VPNFilter รวมถึงรายการเป้าหมาย เราจะสอนวิธีป้องกันไม่ให้มันทำลายระบบตั้งแต่แรก

มัลแวร์ VPNFilter คืออะไร?

คิดว่า VPNFilter เป็นมัลแวร์ทำลายล้างที่คุกคาม Router, อุปกรณ์ IoT และแม้แต่อุปกรณ์ Network-Attached Storage (NAS) ถือเป็นมัลแวร์โมดูลาร์ระดับสูงที่มุ่งเป้าหมายอุปกรณ์เครือข่ายจากผู้ผลิตต่างๆ

เริ่มต้น มัลแวร์ถูกตรวจพบบนอุปกรณ์เครือข่าย Linksys, NETGEAR, MikroTik, และ TP-Link ยังพบในอุปกรณ์ QNAP NAS ด้วย จนถึงปัจจุบัน มีการติดเชื้อประมาณ 500,000 รายใน 54 ประเทศ แสดงถึงการแพร่กระจายและการมีอยู่ที่มหาศาล

Cisco Talos ทีมที่เผย露 VPNFilter ให้ บล็อกโพสต์ละเอียดเกี่ยวกับมัลแวร์และรายละเอียดทางเทคนิค ดูเหมือนว่าอุปกรณ์เครือข่ายจาก ASUS, D-Link, Huawei, UPVEL, Ubiquiti, และ ZTE มีสัญญาณการติดเชื้อ

ต่างจากมัลแวร์ IoT ส่วนใหญ่ VPNFilter ยากที่จะกำจัด เนื่องจากมันคงอยู่แม้หลัง Reboot อุปกรณ์ที่เปราะบางต่อการโจมตีคือ อุปกรณ์ที่ใช้ Default Login Credentials หรือที่มีช่องโหว่ Zero-day ที่ทราบแล้วแต่ยังไม่ได้อัปเดต Firmware

อุปกรณ์ที่ทราบว่าถูก VPNFilter Malware โจมตี

ทั้ง Router ระดับ Enterprise และ Small Office/Home Office Router เป็นเป้าหมาย จดบันทึกแบรนด์และรุ่น Router ดังต่อไปนี้:

Asus RT-AC66U
Asus RT-N10
Asus RT-N10E
Asus RT-N10U
Asus RT-N56U
Asus RT-N66U
D-Link DES-1210-08P
D-Link DIR-300
D-Link DIR-300A
D-Link DSR-250N
D-Link DSR-500N
D-Link DSR-1000
D-Link DSR-1000N
Linksys E1200
Linksys E2500
Linksys E3000
Linksys E3200
Linksys E4200
Linksys RV082
Huawei HG8245
Linksys WRVS4400N
Netgear DG834
Netgear DGN1000
Netgear DGN2200
Netgear DGN3500
Netgear FVS318N
Netgear MBRN3000
Netgear R6400
Netgear R7000
Netgear R8000
Netgear WNR1000
Netgear WNR2000
Netgear WNR2200
Netgear WNR4000
Netgear WNDR3700
Netgear WNDR4000
Netgear WNDR4300
Netgear WNDR4300-TN
Netgear UTM50
MikroTik CCR1009
MikroTik CCR1016
MikroTik CCR1036
MikroTik CCR1072
MikroTik CRS109
MikroTik CRS112
MikroTik CRS125
MikroTik RB411
MikroTik RB450
MikroTik RB750
MikroTik RB911
MikroTik RB921
MikroTik RB941
MikroTik RB951
MikroTik RB952
MikroTik RB960
MikroTik RB962
MikroTik RB1100
MikroTik RB1200
MikroTik RB2011
MikroTik RB3011
MikroTik RB Groove
MikroTik RB Omnitik
MikroTik STX5
TP-Link R600VPN
TP-Link TL-WR741ND
TP-Link TL-WR841N
Ubiquiti NSM2
Ubiquiti PBE M5
Upvel Devices - รุ่นไม่ทราบ
ZTE Devices ZXHN H108N
QNAP TS251
QNAP TS439 Pro
อุปกรณ์ QNAP NAS อื่นๆ ที่ใช้ซอฟต์แวร์ QTS

ตัวหารร่วมของอุปกรณ์เป้าหมายส่วนใหญ่คือ ใช้ Default Credentials และมี Exploits ที่ทราบ โดยเฉพาะรุ่นเก่า

มัลแวร์ VPNFilter ทำอะไรกับอุปกรณ์ที่ติดเชื้อ?

VPNFilter ทำงานเพื่อก่อให้เกิดความเสียหายรุนแรงต่ออุปกรณ์ที่ติดเชื้อ และทำหน้าที่เป็นวิธีการเก็บรวบรวมข้อมูล ทำงานใน 3 ขั้นตอน:

ขั้นตอนที่ 1

เป็นการติดตั้งและรักษาการมีอยู่อย่าง Persistent บนอุปกรณ์เป้าหมาย มัลแวร์จะติดต่อ Command and Control (C&C) Server เพื่อดาวน์โหลดโมดูลเพิ่มเติมและรอคำสั่ง ในขั้นตอนนี้ มี Built-in Redundancies หลายตัวเพื่อค้นหา Stage 2 C&Cs หากโครงสร้างพื้นฐานเปลี่ยนแปลงขณะที่ภัยคุกคามถูกปรับใช้ Stage 1 VPNFilter ทนต่อ Reboot ได้

ขั้นตอนที่ 2

นี่คือ Main Payload แม้จะไม่สามารถ Persist ผ่าน Reboot ได้ แต่มีความสามารถมากกว่า สามารถเก็บไฟล์ Execute Commands และทำ Data Exfiltration และ Device Management ต่อยอดผลกระทบทำลายล้าง มัลแวร์สามารถ "Brick" อุปกรณ์ได้เมื่อได้รับคำสั่งจากผู้โจมตี ทำได้โดยการ Overwrite ส่วนหนึ่งของ Firmware อุปกรณ์และ Reboot ต่อมา การกระทำผิดกฎหมายนี้ทำให้อุปกรณ์ใช้ไม่ได้

ขั้นตอนที่ 3

มีโมดูลที่รู้จักหลายตัวของขั้นตอนนี้ ทำหน้าที่เป็น Plugins สำหรับ Stage 2 ประกอบด้วย Packet Sniffer เพื่อสอดแนมทราฟฟิกที่ Routing ผ่านอุปกรณ์ ทำให้ขโมย Credential เว็บไซต์ และติดตามโปรโตคอล Modbus SCADA โมดูลอีกตัวให้ Stage 2 สื่อสารอย่างปลอดภัยผ่าน Tor จากการสืบสวนของ Cisco Talos โมดูลหนึ่งให้เนื้อหาอันตรายแก่ทราฟฟิกที่ผ่านอุปกรณ์ ทำให้โจมตีส่งผลต่ออุปกรณ์ที่เชื่อมต่อต่อไป

วันที่ 6 มิถุนายน โมดูล Stage 3 อีก 2 ตัวถูกเผย露 ตัวแรกชื่อ "ssler" สามารถ Intercept ทราฟฟิกทั้งหมดที่ผ่านอุปกรณ์ผ่าน Port 80 อนุญาตให้โจมตีดู Web Traffic และ Intercept เพื่อทำ Man-in-the-middle Attacks สามารถเปลี่ยน HTTPS Requests เป็น HTTP ส่งข้อมูลที่ควรเข้ารหัสไปอย่างไม่ปลอดภัย ตัวที่สองชื่อ "dstr" รวม Kill Command ให้กับโมดูล Stage 2 ที่ขาดคุณสมบัตินี้ เมื่อ Execute จะกำจัดทุก Trace ของมัลแวร์ก่อน Brick อุปกรณ์

นี่คือโมดูล Stage 3 อีก 7 ตัวที่เผย露 วันที่ 26 กันยายน:

htpx – ทำงานเหมือน ssler Redirect และตรวจสอบ HTTP Traffic ทั้งหมดผ่านอุปกรณ์ที่ติดเชื้อ เพื่อระบุและ Log Windows Executables ใดๆ สามารถ Trojan-ize Executables ขณะผ่าน Router ที่ติดเชื้อ ให้โจมตีติดตั้งมัลแวร์บนเครื่องต่างๆ ในเครือข่ายเดียวกัน
ndbr – ถือเป็น Multi-function SSH Tool
nm – โมดูลนี้เป็นอาวุธ Network Mapping สำหรับสแกน Local Subnet
netfilter – ยูทิลิตี้ Denial of Service สามารถบล็อกการเข้าถึงแอปที่เข้ารหัสบางอย่าง
portforwarding – Forward 網絡流量ไปยังโครงสร้างพื้นฐานที่โจมตีกำหนด
socks5proxy – เปิดใช้งาน SOCKS5 Proxy บนอุปกรณ์ที่เปราะบาง

ต้นกำเนิดของ VPNFilter ถูกเผย露

มัลแวร์นี้น่าจะเป็นงานของ Entity การแฮกที่ได้รับการสนับสนุนจากรัฐ (State-sponsored) การติดเชื้อเริ่มต้นรู้สึกหลักใน Ukraine ง่ายต่อการ Attribute ให้กับกลุ่มแฮก Fancy Bear และกลุ่มที่ได้รับการสนับสนุนจากรัสเซีย

อย่างไรก็ตาม นี่แสดงถึงธรรมชาติที่ซับซ้อนของ VPNFilter ไม่สามารถเชื่อมโยงกับต้นกำเนิดชัดเจนและกลุ่มแฮกเฉพาะได้ และยังไม่มีใครรับผิดชอบ มีการคาดเดาว่ามี Nation-state Sponsor เนื่องจาก SCADA ร่วมกับโปรโตคอลระบบอุตสาหกรรมอื่นๆ มีกฎและการกำหนดเป้าหมายมัลแวร์ที่ครอบคลุม

ถ้าถาม FBI VPNFilter เป็นลูกฝึกของ Fancy Bear กลับในเดือนพฤษภาคม 2561 หน่วยงานยึดโดเมน ToKnowAll.com ซึ่งคิดว่าเครื่องมือสำคัญในการติดตั้งและสั่งการ Stage 2 และ 3 VPNFilter การยึดครองช่วยหยุดการแพร่กระจาย แต่ไม่ได้แก้แหล่งหลัก

ในประกาศวันที่ 25 พฤษภาคม FBI ออกคำร้องขอเร่งด่วนให้ผู้ใช้ Reboot Wi-Fi Router ที่บ้าน เพื่อหยุดการโจมตีมัลแวร์ต่างชาติขนาดใหญ่ ในขณะนั้น หน่วยงานระบุ Cybercriminals ต่างชาติว่าเจาะ Router Wi-Fi สำนักงานเล็กและบ้าน - รวมอุปกรณ์เครือข่ายอื่นๆ - หลายแสนเครื่อง

ฉันเป็นแค่ผู้ใช้ทั่วไป - การโจมตี VPNFilter หมายถึงอะไรต่อฉัน?

ข่าวดีคือ Router ของคุณน่าจะไม่ได้เป็นที่พักของมัลแวร์รบกวน หากคุณตรวจสอบรายการ Router VPNFilter ที่เราให้ไว้ข้างต้น แต่ก็ควรระมัดระวัง Symantec ตัวอย่างหนึ่ง รัน VPNFilter Check ให้คุณทดสอบว่าถูกกระทบหรือไม่ ใช้เพียงไม่กี่วินาที

ตอนนี้ สิ่งสำคัญ ถ้าคุณติดเชื้อจริง? สำรวจขั้นตอนเหล่านี้:

Reset Router แล้วรัน VPNFilter Check อีกครั้ง
Reset Router กลับสู่ Factory Settings
พิจารณา Disable Remote Management Settings บนอุปกรณ์
ดาวน์โหลด Firmware ล่าสุดสำหรับ Router ทำ Clean Firmware Install โดยเฉพาะโดยไม่ให้ Router เชื่อมต่อออนไลน์ระหว่างกระบวนการ
ทำ Full System Scan บนคอมพิวเตอร์หรืออุปกรณ์ที่เชื่อมต่อกับ Router ที่ติดเชื้อ อย่าลืมใช้ PC Optimizer Tool ที่น่าเชื่อถือร่วมกับ Malware Scanner ที่เชื่อถือ
รักษาความปลอดภัยการเชื่อมต่อ รับ VPN คุณภาพสูงแบบชำระเงินที่มีประวัติความปลอดภัยและความเป็นส่วนตัวออนไลน์ระดับเยี่ยม
ปฏิบัตินิสัยเปลี่ยน Default Login Credentials ของ Router รวมถึง IoT หรือ NAS Devices อื่นๆ
ติดตั้ง Firewall และกำหนดค่าให้เหมาะสม เพื่อกันสิ่งเลวร้ายเข้ามาในเครือข่าย
รักษาความปลอดภัยอุปกรณ์ด้วยรหัสผ่านที่แข็งแกร่งและไม่ซ้ำ
เปิดใช้งาน Encryption

หาก Router ของคุณอาจได้รับผลกระทบ ควรตรวจสอบเว็บไซต์ผู้ผลิตสำหรับข้อมูลใหม่และขั้นตอนป้องกันอุปกรณ์ นี่เป็นขั้นตอนทันทีที่ควรทำ เนื่องจากข้อมูลทั้งหมดของคุณผ่าน Router เมื่อ Router ถูกเจาะ ความเป็นส่วนตัวและความปลอดภัยของอุปกรณ์คุณอยู่ในความเสี่ยง

สรุป

มัลแวร์ VPNFilter อาจเป็นหนึ่งในภัยคุกคามที่แข็งแกร่งและทำลายล้างยากที่สุด ที่โจมตี Enterprise และ Router สำนักงานเล็ก/บ้าน ในประวัติศาสตร์ล่าสุด ถูกตรวจพบครั้งแรกบนอุปกรณ์เครือข่าย Linksys, NETGEAR, MikroTik, TP-Link และ QNAP NAS คุณสามารถหารายการ Router ที่ได้รับผลกระทบข้างต้น

VPNFilter ไม่สามารถเพิกเฉยได้ หลังก่อให้เกิดการติดเชื้อ 500,000 รายใน 54 ประเทศ ทำงาน 3 ขั้นตอน และทำให้ Router ใช้ไม่ได้ เก็บข้อมูลที่ผ่าน Router และบล็อก Network Traffic การตรวจจับและวิเคราะห์กิจกรรมเครือข่ายยังคงเป็นงานยาก

ในบทความนี้ เราระบุวิช่วยป้องกันตัวเองจากมัลแวร์ และขั้นตอนที่คุณสามารถทำได้หาก Router ถูกเจาะ ผลลัพธ์ร้ายแรง ดังนั้นคุณไม่ควรนั่งคอยงานสำคัญในการตรวจสอบอุปกรณ์ของคุณ