Aggiornate i routers Netgear: il malware RouteX ne prende il controllo

Set 13, 2017 Giancarlo Calzetta Hacking, Malware, News, RSS 0

Un hacker che parla russo ha creato, tramite il malware RouteX, una botnet con la quale ruba account grazie a una vulnerabilità vecchia di mesi ma ancora molto diffusa.

RouteX dimostra che tutti dovrebbero impegnarsi molto nel creare software sicuri, ma i produttori di accessori e dispositivi informatici dovrebbero farlo più degli altri. Il motivo è sempre il solito: mentre se per un software per desktop o un’app sono buggate si può implementare qualche procedura per convincere l’utente a scaricare l’aggiornamento, riuscire a tenere aggiornati dispositivi esterni come router, videocamere e simili è davvero complicato.

Non è un caso che un hacker di lingua russa abbia passato gli ultimi mesi a infettare router Netgear con un malware chiamato RouteX, trasformandoli in zombie dediti alla pratica del Credential Stuffing.

Secondo quanto dichiarato da Stu Gordon, Chief Science Officer e Head of Research alla Forkbombus Labs, il criminale ha sfruttato la vulnerabilità CVE-2016-10176 per infettare i router Netgear della serie WNR2000 che non avevano ricevuto la patch rilasciata a dicembre 2016.

Il problema colpisce l’interfaccia di amministrazione interna, che risulta essere accessibile dall’esterno e pienamente operativa a livello di amministratore. In questo modo, l’hacker carica il malware che provvede a chiudere la vulnerabilità (in modo da non esser sovrascritto da eventuali altri malintenzionati) e ad installare un SOCKS Proxy, tramite il quale inizia le operazioni di credential stuffing.

Il credential stuffing è una pratica molto in crescita in questi ultimi mesi che sfrutta i database rubati di username e password per prendere il controllo di account su varie piattaforme.

Gli hacker che mettono le mani su dei database di credenziali rubate, infatti, si trovano davanti a due utilizzi. Il primo è quello di usarlo per la piattaforma di provenienza, se nota; il secondo è quello di cercare di usare le stesse credenziali per accedere ad altri servizi dato che molti utenti usano sempre la stessa combinazione per siti diversi.

Analizzando gli indirizzi di dieci server di comando e controllo abbinati a RouteX, gli esperti di Forkbombus sono risaliti all’hacker che si fa chiamare Link, lo stesso che creò il malware usato per infettare i dispositivi di Ubiquity Networks nell’ottobre del 2016.

La struttura dei due malware, quello del 2016 e RouteX, sono molto simili, anche se l’ultimo è ovviamente più evoluto, e lo stesso si può dire per lo splash screen che saluta chi si connette alla console di comando.

Per mettere al sicuro i nostri dispositivi, l’unica cosa da fare è quella di aggiornare i Router, ricordandoci di creare un task ricorrente che ci ricordi di fare un controllo manuale su quegli apparecchi che non sono predisposti per aggiornarsi automaticamente.

Fonte: Bleeping Computer

Condividi l'articolo