Вредоносное ПО изменяет прошивку устройства и предоставляет злоумышленникам доступ к административной консоли.
Во вторник, 15 сентября, компании Mandiant и FireEye опубликовали информацию о вредоносном ПО SYNful Knock, обнаруженном в 14 маршрутизаторах Cisco в Индии, Мексике, Филиппинах и Украине. Вредонос модифицировал прошивку Cisco и предоставлял злоумышленникам неограниченный доступ к сетевому оборудованию, включая возможность загружать дополнительные модули.
Команде исследователей из Университета Мичигана, Университета Беркли и Международного центра компьютерных наук Университета Беркли удалось отследить оставшиеся имплантаты. Эксперты обнаружили по меньшей мере 79 маршрутизаторов в 19 странах со схожими паттернами поведения, что дает повод предполагать, что в них также установлен вредонос SYNful Knock.
Наибольшее количество инфицированных роутеров специалисты обнаружили в США - 25. На втором месте оказался Ливан с 12 маршрутизаторами, на третье место попала Россия с 8 устройствами. Отмечается, что все 25 хостов в США принадлежат одному интернет-провайдеру, действующему на территории Восточного побережья.
Атакующие могут активировать бэкдор с помощью специально сформированного нестандартного рукопожатия TCP. Как только он будет осуществлен, злоумышленник сможет использовать специальный логин для входа в административную консоль и загрузки новых модулей для атаки. Клиент специально отсылает TCP SYN-пакет на 80 порт скомпрометированых хостов. Разница между номером последовательности TCP и подтверждающим номером равна 0xC123D. Инфицированный роутер передает ответ с пакетом SYN+ACK, где:
Клиент завершает хендшейк путем отправки специально сформированного пакета ACK с установленными флагами PUSH и ACK, ASCII-строкой "text" по адресу 0х62 в пакете TCP.