Ботнет з тисяч зламаних роутерів Aethra використовувався для атаки на Wordpress-сайти

Італійська компанія VoidSec, що працює у сфері інформаційної безпеки, опублікувала матеріал про нещодавно виявлений ботнет з роутерів Aethra. Як виявилося, ці пристрої схильні до злому, а зловмисники використовують ботнети з таких пристроїв для проведення брутфорс-атак на сайти Wordpress.

Одна з таких атак була виявлена фахівцем компанії, коли той аналізував логи Wordpress-сайтів, які зазнали атаки. Як виявилося, атака йшла з досить близького діапазону IP-адрес. Після детального аналізу виявилося, що атака здійснювалася з IP, які ставляться до 6 інтернет-провайдерів: Fastweb, Albacom (BT-Italia), Clouditalia, Qcom, WIND, и BSI Assurance UK. 4 провайдери працюють в Італії. Більшість цих компаній встановлюють клієнтам роутери Aethra.

Дефолтні налаштування - подарунок для зломщика

Незважаючи на те, що в Мережі повним-повно рекомендацій змінювати дефолтні налаштування роутерів після їх установки, більшість клієнтів провайдерів цього не роблять. Комусь лінь, хтось просто не знає, як це зробити, або боїться. У підсумку у зломщиків досі величезне поле діяльності, є, де розвернутися.

Що стосується роутерів Aethra, то клієнти провайдерів використовували дефолтний логін без пароля. Деякі пристрої також схильні до різних типів XSS і CSRF атак, що дозволяє зловмиснику отримати контроль над девайсом, навіть якщо використовуються різні логіни.

Використовуючи Shodan, сервіс, що здійснює пошук підключених до Мережі пристроїв, дослідники виявили понад 12 тисяч роутерів Aethra по всьому світу. В Італії розташовано більшість девайсів - 10866 штук. 8000 виявилися задіяні в брут-форс атаках. До цього моменту 70% виявлених пристроїв працюють з налаштуваннями за замовчуванням.

За грубими оцінками фахівців, кожен інфікований роутер може здійснювати DDoS атаку в 1-10 Gbps.

І що тепер?

Як виявилося, зазначена проблема була виявлена близько року тому. Компанія зв'язалася з двома найбільшими італійськими провайдерами, чиї роутери були задіяні в атаках. Компанія Fastweb відреагувала досить швидко, закривши вразливість за допомогою оновлення прошивки всього за тиждень. Інша компанія BT-Italia, визнала проблему, але нічого не робила протягом 11 місяців. Її роутери досі вразливі.