“Inicialmente, o invasor visa um roteador cujo WEBUI é aberto ao público, executa scripts possivelmente usando vulnerabilidades e, finalmente, infecta o GobRAT”, disse o Centro de Coordenação JPCERT (JPCERT/CC) em um relatório que acaba de ser publicado. Sendo assim, um novo Trojan de acesso remoto GobRAT atinge roteadores Linux no Japão.
O comprometimento de um roteador exposto à Internet é seguido pela implantação de um script de carregamento que atua como um canal para a entrega do GobRAT, que, quando iniciado, se disfarça como o processo daemon Apache (apache) para evitar a detecção.
Novo Trojan de acesso remoto GobRAT atinge roteadores Linux no Japão
O carregador também está equipado para desabilitar firewalls, estabelecer persistência usando o agendador de tarefas cron e registrar uma chave pública SSH no arquivo .ssh/authorized_keys para acesso remoto.
Notícias Relacionadas
Meta acaba com rede de sextorsão no Instagram, eliminando 63.000 contas!
A Meta removeu 63.000 contas do Instagram da Nigéria, por estarem envolvidas em golpes de sextorsão. A exclusão incluiu uma rede coordenada de 2.500 contas vinculadas a 20 indivíduos que tinham como alvo principalmente homens adultos nos Estados Unidos. Meta exclui contas do Instagram vinculadas a sextorsão A Meta disse que essas contas estão vinculadas […]
Pane global
CEO da CrowdStrike em breve já pode pedir música no Fantástico
O atual CEO da CrowdStrike, George Kurtz, foi CEO da McAFee que em sua estadia na empresa causou um erro em uma atualização do McAFee que deixou milhares de computadores em loop de reinicialização sem fim. Kurtz já é considerado o único CEO do mundo a presidir duas grandes interrupções globais de PCs causada por […]
O GobRAT, por sua vez, se comunica com um servidor remoto por meio do protocolo Transport Layer Security (TLS) para receber até 22 comandos criptografados diferentes para execução.
Alguns dos principais comandos são os seguintes:
- Obter informações da máquina
- Executar shell reverso
- Ler/escrever arquivos
- Configurar novo comando e controle (C2) e protocolo
- Inicie o proxy SOCKS5
- Execute o arquivo em /zone/ frpc e
- Tentativa de login nos serviços sshd, Telnet, Redis, MySQL, PostgreSQL em execução em outra máquina
As descobertas ocorrem quase três meses depois que o Lumen Black Lotus Labs revelou que roteadores de nível empresarial foram vítimas de espionagem na América Latina, Europa e América do Norte usando um malware chamado HiatusRAT.
