Phát hiện và loại bỏ Malware VPNFilter: Bảo vệ từng bước

Không phải tất cả malware đều được tạo ra như nhau. Một bằng chứng là sự tồn tại của malware VPNFilter, một chủng malware router mới có tính chất phá hủy. Một đặc điểm riêng biệt của nó là nó có thể sống sót sau khi khởi động lại (reboot), khác với hầu hết các mối đe dọa Internet of Things (IoT) khác.

Hãy để bài viết này hướng dẫn bạn xác định malware VPNFilter cũng như danh sách mục tiêu của nó. Chúng tôi cũng sẽ dạy bạn cách ngăn chặn nó gây hại cho hệ thống của bạn ngay từ đầu.

Malware VPNFilter là gì?

Hãy nghĩ về VPNFilter như một malware phá hủy đe dọa router, thiết bị IoT, thậm chí thiết bị lưu trữ gắn mạng (NAS). Nó được coi là một biến thể malware mô-đun tinh vi chủ yếu nhắm vào thiết bị mạng từ các nhà sản xuất khác nhau.

Ban đầu, malware được phát hiện trên thiết bị mạng Linksys, NETGEAR, MikroTik và TP-Link. Nó cũng được phát hiện trên thiết bị NAS QNAP. Đến nay, có khoảng 500.000 lượt nhiễm tại 54 quốc gia, thể hiện phạm vi và sự hiện diện lớn của nó.

Cisco Talos, nhóm đã phơi bày VPNFilter, cung cấp một bài đăng blog chi tiết về malware và các chi tiết kỹ thuật xung quanh nó. Nhìn có vẻ như thiết bị mạng từ ASUS, D-Link, Huawei, UPVEL, Ubiquiti và ZTE có dấu hiệu nhiễm.

Khác với hầu hết malware nhắm IoT khác, VPNFilter khó loại bỏ vì nó tồn tại ngay cả sau khi khởi động lại hệ thống. Các thiết bị dễ bị tấn công là những thiết bị sử dụng thông tin đăng nhập mặc định, hoặc những thiết bị có lỗ hổng zero-day đã biết nhưng chưa cập nhật firmware.

Các thiết bị biết bị ảnh hưởng bởi Malware VPNFilter

Cả router doanh nghiệp và văn phòng nhỏ/nhà (SOHO) đều được biết là mục tiêu của malware này. Lưu ý các thương hiệu và mẫu router sau:

• Asus RT-AC66U
• Asus RT-N10
• Asus RT-N10E
• Asus RT-N10U
• Asus RT-N56U
• Asus RT-N66U
• D-Link DES-1210-08P
• D-Link DIR-300
• D-Link DIR-300A
• D-Link DSR-250N
• D-Link DSR-500N
• D-Link DSR-1000
• D-Link DSR-1000N
• Linksys E1200
• Linksys E2500
• Linksys E3000
• Linksys E3200
• Linksys E4200
• Linksys RV082
• Huawei HG8245
• Linksys WRVS4400N
• Netgear DG834
• Netgear DGN1000
• Netgear DGN2200
• Netgear DGN3500
• Netgear FVS318N
• Netgear MBRN3000
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• Netgear WNR2200
• Netgear WNR4000
• Netgear WNDR3700
• Netgear WNDR4000
• Netgear WNDR4300
• Netgear WNDR4300-TN
• Netgear UTM50
• MikroTik CCR1009
• MikroTik CCR1016
• MikroTik CCR1036
• MikroTik CCR1072
• MikroTik CRS109
• MikroTik CRS112
• MikroTik CRS125
• MikroTik RB411
• MikroTik RB450
• MikroTik RB750
• MikroTik RB911
• MikroTik RB921
• MikroTik RB941
• MikroTik RB951
• MikroTik RB952
• MikroTik RB960
• MikroTik RB962
• MikroTik RB1100
• MikroTik RB1200
• MikroTik RB2011
• MikroTik RB3011
• MikroTik RB Groove
• MikroTik RB Omnitik
• MikroTik STX5
• TP-Link R600VPN
• TP-Link TL-WR741ND
• TP-Link TL-WR841N
• Ubiquiti NSM2
• Ubiquiti PBE M5
• Upvel Devices -unknown models
• ZTE Devices ZXHN H108N
• QNAP TS251
• QNAP TS439 Pro
• Các thiết bị NAS QNAP khác chạy phần mềm QTS

Một yếu tố chung trong hầu hết thiết bị bị nhắm mục tiêu là việc sử dụng thông tin đăng nhập mặc định. Chúng cũng có các lỗ hổng đã biết, đặc biệt là các phiên bản cũ hơn.

Malware VPNFilter làm gì với thiết bị bị nhiễm?

VPNFilter hoạt động để gây thiệt hại suy yếu cho thiết bị bị ảnh hưởng cũng như đóng vai trò phương pháp thu thập dữ liệu. Nó hoạt động theo ba giai đoạn:

Giai đoạn 1

Đây đánh dấu việc cài đặt và duy trì sự hiện diện bền bỉ trên thiết bị mục tiêu. Malware sẽ liên lạc với máy chủ điều khiển và lệnh (C&C) để tải xuống các mô-đun bổ sung và chờ đợi lệnh. Ở giai đoạn này, có nhiều dự phòng tích hợp để xác định C&C Giai đoạn 2 trong trường hợp thay đổi cơ sở hạ tầng xảy ra trong khi mối đe dọa được triển khai. Giai đoạn 1 VPNFilter có thể chịu đựng được reboot.

Giai đoạn 2

Đây là tải trọng chính (main payload). Mặc dù nó không thể tồn tại qua reboot, nhưng nó có nhiều khả năng hơn. Nó có thể thu thập tệp, thực thi lệnh, thực hiện rút trộm dữ liệu (data exfiltration) và quản lý thiết bị. Tiếp tục tác động phá hủy, malware có thể "biến thành gạch" (brick) thiết bị khi nhận lệnh từ kẻ tấn công. Điều này được thực hiện bằng cách ghi đè một phần firmware thiết bị và khởi động lại sau đó. Các hành vi phạm tội khiến thiết bị không thể sử dụng.

Giai đoạn 3

Một số mô-đun đã biết của giai đoạn này tồn tại và đóng vai trò plugin cho Giai đoạn 2. Chúng bao gồm một packet sniffer để gián điệp lưu lượng được định tuyến qua thiết bị, cho phép đánh cắp thông tin đăng nhập trang web và theo dõi giao thức Modbus SCADA. Một mô-đun khác cho phép Giai đoạn 2 giao tiếp an toàn qua Tor. Dựa trên điều tra của Cisco Talos, một mô-đun cung cấp nội dung độc hại cho lưu lượng đi qua thiết bị. Cách này, kẻ tấn công có thể ảnh hưởng thêm các thiết bị kết nối.

Ngày 6 tháng 6, hai mô-đun Giai đoạn 3 khác được phơi bày. Mô-đun đầu tiên gọi là "ssler", nó có thể chặn toàn bộ lưu lượng đi qua thiết bị sử dụng cổng 80. Nó cho phép kẻ tấn công xem lưu lượng web và chặn để thực hiện tấn công man-in-the-middle. Nó có thể, ví dụ, thay đổi yêu cầu HTTPS thành HTTP, gửi dữ liệu được mã hóa một cách không an toàn. Mô-đun thứ hai mang tên "dstr", kết hợp lệnh kill cho bất kỳ mô-đun Giai đoạn 2 nào thiếu tính năng này. Khi thực thi, nó sẽ xóa mọi dấu vết của malware trước khi biến thiết bị thành gạch.

Dưới đây là bảy mô-đun Giai đoạn 3 khác được phơi bày ngày 26 tháng 9:

• htpx – Hoạt động giống ssler, chuyển hướng và kiểm tra toàn bộ lưu lượng HTTP qua thiết bị bị nhiễm để xác định và ghi log bất kỳ tệp thực thi Windows nào. Nó có thể trojan- hóa tệp thực thi khi đi qua router bị nhiễm, cho phép kẻ tấn công cài đặt malware trên nhiều máy kết nối cùng mạng.
• ndbr – Được coi là công cụ SSH đa chức năng.
• nm – Mô-đun này là vũ khí quét mạng để quét subnet cục bộ.
• netfilter – Tiện ích từ chối dịch vụ có thể chặn truy cập một số ứng dụng được mã hóa.
• portforwarding – Chuyển tiếp lưu lượng mạng đến cơ sở hạ tầng do kẻ tấn công xác định.
• socks5proxy – Cho phép thiết lập proxy SOCKS5 trên thiết bị dễ bị tổn thương.

Nguồn gốc VPNFilter được tiết lộ

Malware này có thể là công trình của một thực thể hacking được tài trợ bởi nhà nước. Các nhiễm ban đầu chủ yếu cảm thấy tại Ukraine, dễ dàng quy kết hành vi cho nhóm hacking Fancy Bear và các nhóm được Nga hậu thuẫn.

Tuy nhiên, điều này minh họa bản chất tinh vi của VPNFilter. Nó không thể liên kết với nguồn gốc rõ ràng và nhóm hacking cụ thể, và chưa ai đứng ra nhận trách nhiệm. Một nhà tài trợ quốc gia đang được suy đoán vì SCADA cùng các giao thức hệ thống công nghiệp khác có quy tắc malware và nhắm mục tiêu toàn diện.

Nếu bạn hỏi FBI, VPNFilter là sản phẩm của Fancy Bear. Vào tháng 5 năm 2018, cơ quan này đã tịch thu tên miền ToKnowAll.com, được cho là công cụ quan trọng trong việc cài đặt và điều khiển Giai đoạn 2 và 3 VPNFilter. Việc tịch thu giúp ngăn chặn lan truyền malware, nhưng không giải quyết được nguồn gốc chính.

Trong tuyên bố ngày 25 tháng 5, FBI đưa ra yêu cầu khẩn cấp cho người dùng khởi động lại router Wi-Fi tại nhà để ngăn chặn cuộc tấn công malware lớn dựa trên nước ngoài. Lúc đó, cơ quan chỉ ra tội phạm mạng nước ngoài đã xâm phạm router Wi-Fi văn phòng nhỏ và nhà - cùng các thiết bị mạng khác - bằng hàng trăm nghìn.

Tôi chỉ là người dùng bình thường – Cuộc tấn công VPNFilter có ý nghĩa gì với tôi?

Tin tốt là router của bạn không太可能 chứa loại malware phiền toái này nếu bạn kiểm tra danh sách router VPNFilter chúng tôi cung cấp ở trên. Nhưng luôn tốt nhất nên thận trọng. Symantec, ví dụ, chạy VPNFilter Check để bạn có thể kiểm tra xem có bị ảnh hưởng hay không. Chỉ mất vài giây để chạy kiểm tra.

Bây giờ, đây là vấn đề. Nếu bạn thực sự bị nhiễm? Khám phá các bước sau:

• Đặt lại router. Tiếp theo, chạy VPNFilter Check một lần nữa.
• Đặt lại router về cài đặt gốc (factory settings).
• Cân nhắc vô hiệu hóa bất kỳ cài đặt quản lý từ xa nào trên thiết bị.
• Tải firmware mới nhất cho router. Hoàn tất cài đặt firmware sạch, lý tưởng nhất là không cho router kết nối trực tuyến trong quá trình.
• Thực hiện quét toàn bộ hệ thống trên máy tính hoặc thiết bị đã kết nối với router bị nhiễm. Đừng quên sử dụng công cụ tối ưu PC tin cậy để làm việc cùng với trình quét malware đáng tin cậy.
• Bảo mật kết nối. Bảo vệ bản thân với VPN trả phí chất lượng cao có uy tín về quyền riêng tư và an ninh trực tuyến hàng đầu.
• Hành thói quen thay đổi thông tin đăng nhập mặc định của router, cũng như thiết bị IoT hoặc NAS khác.
• Cài đặt và cấu hình tường lửa đúng cách để chặn thứ xấu ra khỏi mạng.
• Bảo mật thiết bị bằng mật khẩu mạnh, duy nhất.
• Bật mã hóa.

Nếu router của bạn có khả năng bị ảnh hưởng, có thể là ý tưởng tốt để kiểm tra trang web của nhà sản xuất để获取任何新信息和保护设备的步骤。这是一个立即采取的步骤，因为所有信息都通过路由器。当路由器受到威胁时，您的设备的隐私和安全都处于危险之中。

Tóm tắt

Malware VPNFilter có thể là một trong những mối đe dọa mạnh mẽ và khó tiêu hủy nhất đối với router doanh nghiệp và văn phòng nhỏ/nhà trong lịch sử gần đây. Ban đầu được phát hiện trên thiết bị mạng Linksys, NETGEAR, MikroTik, TP-Link và thiết bị NAS QNAP. Bạn có thể tìm thấy danh sách router bị ảnh hưởng ở trên.

VPNFilter không thể bị bỏ qua sau khi gây ra khoảng 500.000 lượt nhiễm tại 54 quốc gia. Nó hoạt động theo ba giai đoạn và làm router không hoạt động, thu thập thông tin đi qua router, thậm chí chặn lưu lượng mạng. Phát hiện và phân tích hoạt động mạng của nó vẫn là một việc khó khăn.

Trong bài viết này, chúng tôi đã nêu các cách giúp bảo vệ bản thân khỏi malware và các bước bạn có thể thực hiện nếu router đã bị xâm phạm. Hậu quả rất nghiêm trọng, vì vậy bạn không bao giờ nên lười biếng việc quan trọng là kiểm tra thiết bị.