Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

L’FBI chiede di riavviare i router colpiti da VPNFilter. Ma non basta…

Mag 30, 2018 Marco Schiaffino Malware, News, RSS, Vulnerabilità 1

Il riavvio del dispositivo non elimina il malware, ma i federali chiedono a tutti di eseguire il reboot per mappare la botnnet.

La vicenda legata a VPNFilter, il malware che ha infettato più di 500.000 router e NAS in tutto il mondo, è ancora ben lontana da una conclusione. A creare una certa confusione è stato l’appello emesso dall’FBI che ha chiesto a tutti i proprietari dei dispositivi infetti di riavviare i loro dispositivi.

Molti utenti, infatti, hanno interpretato la richiesta come un vademecum per eliminare il malware. Non è così. Come abbiamo spiegato nel primo articolo dedicato a VPNFilter, infatti, in questo caso abbiamo a che fare con qualcosa di diverso e più complesso rispetto ai soliti worm per dispositivi IoT (come Mirai) e il semplice riavvio non risolve il problema.

VPNFilter è un malware modulare la cui azione è divisa in tre stadi successivi di infezione. Il secondo e il terzo (che consentono il furto di informazioni) vengono effettivamente eliminati dal riavvio. Il primo modulo, però, resiste al reboot mantenendo la sua persistenza sul dispositivo.

Perché dunque l’FBI ha chiesto di riavviare i dispositivi vulnerabili a VPNFilter? Il motivo, in buona sostanza, è che i federali vogliono eseguire una mappatura dei dispositivi infetti.

La parola chiave nell’avviso è “temporaneamente”. Insomma: con il riavvio il malware non scompare ma fa “un passo indietro” nella sua azione.

Riportando VPNFilter allo stadio uno dell’infezione, il malware contatterà i server Command and Control (sequestrati dall’FBI lo scorso 24 maggio) e gli esperti dell’FBI potranno identificare con accuratezza tutti i dispositivi colpiti nell’attacco.

Per rimuovere il malware i ricercatori consigliano invece di eseguire un reset del dispositivo alle condizioni di fabbrica, aggiornare il firmware alla versione più recente, modificare la password di amministratore e, infine, disattivare la funzione di amministrazione in remoto.

I modelli vulnerabili individuati per il momento dai ricercatori di Talos comprendono i seguenti device:

Linksys E1200; Linksys E2500; LinkSys WRVS4400N; Mikrotik RouterOS Versions for Cloud Core Routers 1016, 1036, 1072; Netgear DGN2200; Netgear R6400; Netgear R7000; Netgear R8000; Netgear WNR1000; Netgear WNR2000; QNAP TS251; QNAP TS439 Pro; Altri NAS che usano software QTS e il TP-Link R600VPN.

Attenzione, però, perché non c’è alcuna certezza che questo elenco sia esaustivo. L’operazione del bureau ha proprio l’obiettivo di individuare altri modelli eventualmente colpiti da VPNFilter.

Condividi l'articolo