俄国僵尸网络程序Cyclops Blink瞄准华硕路由器

安全厂商趋势科技近日发现俄罗斯僵尸网络程序Cyclops Blink锁定并感染华硕的路由器,但研究人员认为其他品牌设备也可能成为目标。

Cyclops Blink疑似和俄罗斯国家黑客组织Sandworm或Voodoo Bear有关,它最早于2019年出现踪迹,此后活跃至今,拥有高达150多个C&C服务器组成的庞大网络。今年2月Cyclops Blink曾发展出瞄准WatchGuard Firefox路由器的变种。趋势科技最近则发现专门瞄准华硕路由器的新变种。

Cyclops Blink是以C语言撰写的模块化恶意程序。它的一个模块可读写受害设备的闪存,并以加密连线上传到C&C服务器,达到搜集信息及执行指令的目的。通过存储在闪存,也可长期渗透,且不会被回复出厂设置删除。

趋势科技研究人员相信,黑客组织在网络上寻找大量目标。根据网络扫描及发布的SSL凭证分析,全球约有150到200台设备已成为宿主。以WatchGuard和华硕设备的攻击行动来看,受害者传播于美、加、意大利、印度及俄罗斯等多国。在一些案例中,某些设倍感染时间长达30个月,且被用以托管C&C服务器以控制僵尸设备。至少WatchGuard设备最早从2019年就遭到感染。此外,由于Cyclops Blink的长期渗透策略,部分感染设备上的恶意程序从未被清除。

值得注意的是,虽然Cyclops Blink是国家支持的僵尸网络,不过今年瞄准WatchGuard及华硕设备的C&C服务器及僵尸网络,都不属于关键组织或是具有经济、政治或军事间谍活动的价值。趋势科技研究人员相信Cyclops Blink变种的目的是创建一个基础架构,用作未来攻击更有价值的目标。

依据其他IoT设备僵尸网络的经验,目标设备可能包括多个品牌。以VPNFilter为例,受害厂商包括华硕、友讯(D-link)、华为、MikroTik、Netgear、QNAP、TP-Link、Ubiquiti、UPVEL及ZDE等。因此,虽然趋势科技目前仅确定WatchGuard及华硕遭感染,但是推断也会有针对其他品牌设备的专门变种。

由于回复出厂设置并不能回复已被Cyclops Blink变更过的底层操作系统,因此研究人员建议,如果企业怀疑有设备已经感染,最好的方法是另一台全新设备。而如果厂商固件更新能解决Cyclops Blink,也应尽快安装。

华硕昨日也发出安全公告。受影响的华硕路由器包括GT-AC5300、GT-AC2900、RT-AC5300、RT-AC88U、RT-AC3100、RT-AC86U、RT-AC68U、AC68R、AC68W、AC68P、RT-AC66U_B1、RT-AC3200、RT-AC2900、RT-AC1900P、RT-AC1900P,以及RT-AC87U (EOL)、RT-AC66U (EOL)和RT-AC56U (EOL)。受影响的产品固件版本皆为3.0.0.4.386.xxxx以前的版本。

华硕表示,该公司正在调查Cyclops Blink,并正在制作修补程序,也会持续更新。华硕呼吁用户将设备重设到出厂设置、更新到最新版固件,同时确保变更管理员密码,以及关闭远程管理功能(默认为关闭)。

发表评论