Cisco Talos пишут о новых данных из расследования зловреда VPNFilter, заражающего сетевые устройства.

https://blog.talosintelligence.com/2018/06/vpnfilter-update.html

Если раньше в списке были Mikrotik моделей CCR1016, CCR1036, CCR1072.
То сейчас к ним добавились CCR1009, CRS109, CRS112, CRS125, RB411, RB450, RB750, RB911, RB921, RB941, RB951, RB952, RB960, RB962, RB1100, RB1200, RB2011, RB3011, RB Groove, RB Omnitik, STX5.

Кроме Mikrotik в списке зараженных и устройства других вендоров: ASUS, D-Link, Huawei, Linksys, Netgear, QNAP, TP-Link, Ubiquiti, Upvel, ZTE.

Из ошеломляющего функционала зловреда стоит выделить:
- принудительный даунгрейд HTTPS трафика до HTTP
- перехват и MiTM атака на нужные злоумышленнику трафик
- модуль самоуничтожения, чтобы сложнее было найти код вируса для его исследования

Адреса управляющих центров. Если из вашей сети есть трафик к этим адресам, сжигайте всё нафиг и уезжайте в тайгу! А лучше обновите все ПО и просканируйте сеть антивирусом.

photobucket.com/user/nikkireed11/library
photobucket.com/user/kmila302/library
photobucket.com/user/lisabraun87/library
photobucket.com/user/eva_green1/library
photobucket.com/user/monicabelci4/library
photobucket.com/user/katyperry45/library
photobucket.com/user/saragray1/library
photobucket.com/user/millerfred/library
photobucket.com/user/jeniferaniston1/library
photobucket.com/user/amandaseyfried1/library
photobucket.com/user/suwe8/library
photobucket.com/user/bob7301/library
toknowall.com

91.121.109.209
217.12.202.40
94.242.222.68
82.118.242.124
46.151.209.33
217.79.179.14
91.214.203.144
95.211.198.231
195.154.180.60
5.149.250.54
94.185.80.82
62.210.180.229
91.200.13.76
23.111.177.114

6b57dcnonk2edf5a.onion/bin32/update.php
tljmmy4vmkqbdof4.onion/bin32/update.php
zuh3vcyskd4gipkm.onion/bin32/update.php
4seiwn2ur4f65zo4.onion/bin256/update.php
zm3lznxn27wtzkwa.onion/bin16/update.php


#vpnfilter #Mikrotik #RouterOS #ASUS #D-Link #DLink #Huawei #Linksys #Netgear #QNAP #TP-Link #Ubiquiti #Upvel #ZTE