“Inicialmente, o invasor visa um roteador cujo WEBUI é aberto ao público, executa scripts possivelmente usando vulnerabilidades e, finalmente, infecta o GobRAT”, disse o Centro de Coordenação JPCERT (JPCERT/CC) em um relatório que acaba de ser publicado. Sendo assim, um novo Trojan de acesso remoto GobRAT atinge roteadores Linux no Japão.
O comprometimento de um roteador exposto à Internet é seguido pela implantação de um script de carregamento que atua como um canal para a entrega do GobRAT, que, quando iniciado, se disfarça como o processo daemon Apache (apache) para evitar a detecção.
Novo Trojan de acesso remoto GobRAT atinge roteadores Linux no Japão
O carregador também está equipado para desabilitar firewalls, estabelecer persistência usando o agendador de tarefas cron e registrar uma chave pública SSH no arquivo .ssh/authorized_keys para acesso remoto.
Notícias Relacionadas
Cibersegurança industrial
Mais de 145 mil sistemas industriais expostos online
Pesquisa revela mais de 145 mil sistemas industriais expostos em 175 países. Dispositivos ICS vulneráveis representam risco crescente para infraestrutura crítica.
Segurança digital
Amazon e Audible enfrentam onda de spam com sites de forex e warez
Amazon e Audible estão sendo inundados com conteúdos maliciosos que promovem esquemas de forex e links para sites suspeitos, revelando falhas no controle de spam em plataformas digitais.
O GobRAT, por sua vez, se comunica com um servidor remoto por meio do protocolo Transport Layer Security (TLS) para receber até 22 comandos criptografados diferentes para execução.
Alguns dos principais comandos são os seguintes:
- Obter informações da máquina
- Executar shell reverso
- Ler/escrever arquivos
- Configurar novo comando e controle (C2) e protocolo
- Inicie o proxy SOCKS5
- Execute o arquivo em /zone/ frpc e
- Tentativa de login nos serviços sshd, Telnet, Redis, MySQL, PostgreSQL em execução em outra máquina
As descobertas ocorrem quase três meses depois que o Lumen Black Lotus Labs revelou que roteadores de nível empresarial foram vítimas de espionagem na América Latina, Europa e América do Norte usando um malware chamado HiatusRAT.
