Theo các chuyên gia đến từ 360 Netlab, phần mềm độc hại khai thác lỗ hổng trong việc triển khai Broadcom UPnP để lây nhiễm các cổng dễ bị tấn công. Điều đó có nghĩa là hàng loạt các nhà sản xuất router sẽ bị ảnh hưởng vì bộ công cụ của họ sử dụng công nghệ đó.
Thiết bị được xây dựng bởi Billion, D-Link, ZTE, Zyxel, và nhà cung cấp của Úc NetComm, cộng với một loạt các thiết bị được cung cấp dưới các thương hiệu của ISP như CenturyLink và Australian ISP iiNet, đều nằm trong số 116 mẫu thiết bị được xác định là bị nhiễm phần mềm độc hại.
Trong buổi tư vấn vào thứ tư vừa rồi, Hui Wang và một người với biệt danh RootKiter nói rằng các router bị tấn công đã phát ra các luồng lưu lượng mạng tăng đột ngột đến cổng TCP 5431 và UDP 1900, hai cổng được Broadcom sử dụng cho UPnP. Các cổng này, sau khi bị nhiễm phần mềm độc hại botnet, đã quét internet một cách hiệu quả để tấn công và lây nhiễm cho các thiết bị dễ bị tấn công khác.
Các nhà nghiên cứu lưu ý rằng các đợt quét không diễn ra thường xuyên nhưng có quy mô lớn: “Hoạt động quét tăng lên sau mỗi 1-3 ngày. Số lượng IP quét đang hoạt động trong mỗi lần là khoảng 100.000, nghĩa là khoảng 100.000 thiết bị được trưng dụng và chạy mỗi lần.
Khi chúng tìm thấy một router được hỗ trợ bởi chipset của Broadcom với UPnP được bật, một máy chủ kiểm soát bởi kẻ tấn công sẽ được phần mềm độc hại chỉ dẫn để tự động khai thác lỗi và lây nhiễm cho cổng mới được phát hiện với một phần mềm độc hại. Sau khi kiểm soát thành công nạn nhân mới nhất của mình, nó sẽ liên lạc với “các máy chủ mail nổi tiếng như Outlook, Hotmail, Yahoo! Mail, ”và v.v. Đó là lý do tại sao các nhà nghiên cứu tin rằng chủ nhân của nó đã tạo ra một botnet gửi thư rác.
Mã độc mang tên BCMUPnP_Hunter kiểm tra xem một router có bị dễ bị tấn công hay không, sau đó chuyển địa chỉ IP của nó tới máy chủ điều khiển và lệnh ở 109 [.] 248 [.] 9 [.] 17: 8738. Tiếp đến, nó tấn công router hai lần bằng shellcode (một đoạn mã nhỏ cho phép thực hiện chỉ một nhiệm vụ nào đó bên trong một chương trình bị khai thác), lần đầu để thăm dò kiến trúc bộ nhớ của hệ thống, và lần thứ hai để cướp thiết bị bằng cách sử dụng thông tin thu thập được để hình thành một khai thác được tùy chỉnh. Sau khi được tiêm và chạy trên thiết bị, phần mềm độc hại sẽ liên lạc với 14 địa chỉ IP được điều hành bởi nhà cung cấp thư qua cổng TCP 25.
Các nhà nghiên cứu cho biết một tìm kiếm trên Shodan cho Server: Custom/1.0 UPnP/1.0 Proc/Ver phát hiện ra có tới 400.000 lỗ hổng tiềm năng.
Thực tế là, việc khai thác lỗi của Broadcom UPnP đã được phát hiện từ năm 2013. Nhưng nhiều năm sau đó, nhiều thiết bị vẫn chưa được vá lỗi mặc dù các bản sửa lỗi đang được phát triển, hoặc là do người dùng không tải bản cập nhật, hoặc là do bản cập nhật không được phân phối. Nếu nghi ngờ, hãy cài đặt firmware mới nhất cho router của bạn. Vô hiệu hóa hoàn toàn UPnP không phải là một ý tưởng tồi.
