Rosyjscy hakerzy włamali się do tysięcy routerów. Zaatakowano 120 krajów
Cyberprzestępcy powiązani z rosyjskim rządem kolejny raz dali popis umiejętności. Ich ofiarą padły urządzenia w Europie, Ameryce, Azji i Afryce.
Rosyjscy hakerzy ponownie dali o sobie znać. Tym razem chodzi o szeroko zakrojoną kampanię, w której przejęto tysiące domowych i firmowych routerów na całym świecie. Celem były nie tylko hasła, ale też tokeny dostępu, które mogą umożliwić przejęcie kont bez potrzeby wpisywania kodów uwierzytelniania dwuskładnikowego.
Przejęto co najmniej 18 00 urządzeń w około 120 krajach
Za operacją stała grupa Fancy Bear, znana też jako APT28, która od lat łączona jest z rosyjskim wywiadem wojskowym GRU. Znani są oni za sprawą głośnych operacjami szpiegowskich oraz sabotażowych, takich jak atak na Demokratyczny Komitet Narodowy w USA w 2016 roku oraz na operatora satelitarnego Viasat w 2022 roku.
Według brytyjskiego NCSC oraz badaczy z Black Lotus Labs atakujący wykorzystywali wcześniej ujawnione luki w niezałatanych routerach marek MicroTik i TP-Link. Problemem okazało się przede wszystkim przestarzałe oprogramowanie, które przez lata pozostawało podatne na zdalne przejęcie. W praktyce właściciele urządzeń mogli przez długi czas nie mieć pojęcia, że ich router stał się narzędziem cyberprzestępców.
Mechanizm działania nie polegał wyłącznie na podsłuchiwaniu ruchu. Hakerzy mieli zmieniać ustawienia routerów tak, by internetowe żądania ofiar przechodziły przez kontrolowaną przez nich infrastrukturę. To z kolei otwierało drogę do przekierowywania użytkowników na fałszywe strony i wyłudzania danych logowania oraz tokenów sesyjnych.
Kompromitacji uległo co najmniej 18 00 urządzeń w około 120 krajach. Wśród poszkodowanych miały znaleźć się też instytucje publiczne, organy ścigania oraz dostawcy poczty elektronicznej. Z kolei Microsoft informuje o ponad 200 organizacjach i 5000 urządzeń konsumenckich dotkniętych tą kampanią, w tym co najmniej trzech instytucjach rządowych w Afryce.
Służby i firmy technologiczne zaczęły już odpowiadać na zagrożenie. FBI przejęło część domen wykorzystywanych w tej operacji, a Black Lotus Labs podało, że udało się doprowadzić do zakłócenia działania botnetu i jego wyłączenia. To jednak świetne przypomnienie, że router nie jest sprzętem, o którym można zapomnieć po pierwszej konfiguracji. Brak aktualizacji oprogramowania może oznaczać znacznie więcej niż problemy z Wi-Fi.
