Uusi haittaohjelmakampanja, joka tunnetaan nimellä "Hiatus", on kohdistettu pienyritysten reitittimiin varastamaan tietoja ja vakoilemaan uhreja.
Uusi "Hiatus" -haittaohjelmakampanja hyökkää yritysreitittimiin
Uusi haittaohjelmakampanja, nimeltään "Hiatus", on kohdistettu pienyritysreitittimiin, jotka käyttävät HiatiusRAT-haittaohjelmia.
Tutkimusyhtiö Lumen julkaisi 6. maaliskuuta 2023 blogikirjoituksen, jossa käsiteltiin tätä haitallista kampanjaa. Vuonna Lumen blogikirjoitus, todettiin, että "Lumen Black Lotus Labs® tunnisti toisen, koskaan ennen näkemättömän kampanjan, jossa oli mukana vaarantuneita reitittimiä."
HiatusRAT on eräänlainen haittaohjelma, joka tunnetaan nimellä a Remote Access Trojan (RAT). Verkkorikolliset käyttävät etäkäyttötroijalaisia päästäkseen etäkäyttöön ja ohjaamaan kohdelaitetta. HiatusRAT-haittaohjelman uusin versio näyttää olleen käytössä heinäkuusta 2022 lähtien.
Lumen-blogiviestissä todettiin myös, että "HiatusRAT antaa uhkatekijälle mahdollisuuden olla etävuorovaikutuksessa järjestelmän kanssa, ja käyttää valmiiksi rakennettuja toimintoja – joista osa on erittäin epätavallisia – muuntaakseen vaarantuneen koneen salaiseksi välityspalvelimeksi uhkanäyttelijä."
"tcpdump"-komentorivi-apuohjelman käyttäminen, HiatusRAT voi siepata kohdistetun reitittimen yli kulkevan verkkoliikenteen, mikä mahdollistaa tietojen varastamisen. Lumen spekuloi myös, että tähän hyökkäykseen osallistuneet haitalliset operaattorit pyrkivät perustamaan salaisen välityspalvelimen verkon hyökkäyksen kautta.
HiatusRAT on kohdistettu tietyntyyppisiin reitittimiin
HiatusRAT-haittaohjelmaa käytetään hyökkäämään loppuun käytettyjä DrayTek Vigor VPN -reitittimiä, erityisesti i386-arkkitehtuuria käyttäviä 2690- ja 3900-malleja. Nämä ovat suuren kaistanleveyden reitittimiä, joita yritykset käyttävät antamaan etätyöntekijöille VPN-tukea.
Näitä reititinmalleja käyttävät yleisesti pienten ja keskisuurten yritysten omistajat, jotka ovat erityisen vaarassa joutua tämän kampanjan kohteeksi. Tutkijat eivät tiedä, kuinka nämä DrayTek Vigor -reitittimet soluttautuivat kirjoittamishetkellä.
Yli 4 000 konetta todettiin tälle haittaohjelmakampanjalle alttiiksi helmikuun puolivälissä, mikä tarkoittaa, että monet yritykset ovat edelleen hyökkäyksen vaarassa.
Hyökkääjät kohdistavat vain muutaman DrayTek-reitittimen
Kaikista DrayTek 2690- ja 3900 -reitittimistä, jotka olivat yhteydessä Internetiin tänään, Lumen ilmoitti tartunnan olevan vain 2 prosenttia.
Tämä osoittaa, että pahantahtoiset käyttäjät yrittävät pitää digitaalisen jalanjälkensä mahdollisimman pienenä rajoittaakseen altistumista ja välttääkseen havaitsemisen. Lumen ehdotti myös edellä mainitussa blogiviestissä, että myös hyökkääjät käyttävät tätä taktiikkaa "säilyttääkseen kriittisiä läsnäolopisteitä".
HiatusRAT aiheuttaa jatkuvan riskin
Tätä kirjoitettaessa HiatusRAT muodostaa riskin monille pienille yrityksille, sillä tuhannet reitittimet ovat edelleen alttiina tälle haittaohjelmalle. Aika näyttää kuinka monta DrayTek-reititintä on onnistuneesti kohdistettu tässä haitallisessa kampanjassa.
