Ботнет Doorway залишив у відкритому доступі 41 ГБ власних файлів, а роутери зі стандартними паролями стали його улюбленим входом
Злочинна інфраструктура залишається відкритою частіше, ніж можна подумати, і коли так стається, документи виявляються дуже красномовними. Дослідники CloudSEK у жовтні знайшли два відкриті робочі простори зловмисників і витягли з них близько 41 ГБ операційних даних ботнету, який вони назвали Doorway. Їхній звіт, опублікований 28 жовтня, нагадує логістичну панель кур'єрської служби, тільки посилки тут роутери та камери.
Головний шлях усередину це MikroTik RouterOS через CVE-2023-30799, вразливість, виправлену три роки тому, і через найстаріший трюк у світі: стандартні облікові дані адміністратора, зокрема порожній пароль. Записи показують 7369 успішних входів у MikroTik на 4923 пристроях. Власний журнал операторів заявляє про 11 363 підключені пристрої і 58 920 завантажень корисного навантаження за одну годину, хоча ця цифра не перевірена незалежно, а CloudSEK вважає свої дані мінімальними. Потрапивши всередину, Doorway налаштовує SOCKS-проксі й тихо перетворює чиєсь інтернет-з'єднання на ретранслятор для чужого трафіку. Лише в одного провайдера в здобичі виявилося 1060 записів абонентів.
MikroTik не той бренд, який упізнає більшість домогосподарств, але інтернет-провайдери роздають чимало такого обладнання, а 59 модулів експлойтів націлені також на камери, оптичні термінали та інші пристрої від операторів. Захист нудний, але дієвий. Змініть пароль адміністратора роутера, якщо він досі стандартний або, ще гірше, порожній. Вимкніть віддалене керування з інтернету, відключіть Telnet і UPnP, якщо налаштування це дозволяють, і встановлюйте оновлення прошивки. Роутер, що працює проксі для чужих людей, рідко виявляє себе чимось, крім повільнішого з'єднання, тож якщо пристрій вам видав провайдер, запитайте в нього, чи актуальна прошивка.
Сканування мережі в Tendvane показує кожен пристрій у вашій домашній мережі, і це швидкий спосіб помітити стару камеру чи забуту коробку, яку ніхто не оновлював відтоді, як її підключили.