Починаючи з 8 травня, Україною відбувається масове розповсюдження зловмисного коду, що уражає мережеві пристрої та сховища даних. Дана зловмисна активність отримала назву VPNFilter.

На даний час підтверджено, що уразливими до атаки є пристрої таких виробників: Linksys, MikroTik, NETGEAR, TP-Link та мережеві сховища даних QNAP.

Дана атака є дворівневою, на 1-му етапі відбувається проникнення на пристрій та завантаження шкідливого коду, виконання якого є 2-м етапом.

На 2-му етапі відбувається завантаження модулів, що і реалізують зловмисну активність: аналіз трафіку та викрадення з нього конфіденційних даних, переправлення користувачів з легітимних сайтів на фішингові; шукати та уражати інші уразливі пристрої; затирання ПЗ пристрою, що призводить його до виходу з ладу.

На 1-му етапі, після проникнення на пристрій, відбувається завантаження шкідливого коду з ресурсу photobucket.com, який приховано у графічних зображеннях.

Для завантаження шкідливого коду, що використовується на 3-му етапі, використовуються сервери:

• 46.151.209.33 (найчастіше зустрічається при ураженні Українських об’єктів)
• 91.121.109.209
• 217.12.202.40
• 94.242.222.68
• 82.118.242.124
• 217.79.179.14
• 91.214.203.144
• 95.211.198.231
• 195.154.180.60
• 5.149.250.54
• 91.200.13.76
• 94.185.80.82
• 62.210.180.229
• Сервери в мережі Tor

Для виявлення уразливих пристроїв, ботнет сканує мережу інтернет по портах 23, 80, 2000 та 8080. Уражені пристрої в свою чергу також починають шукати інші уражені пристрої, скануючи ті ж самі порти.

Наразі відомі акаунти, що розповсюджують зловмисний код, але нові можуть бути швидко розгорнуті. Тому рекомендується тимчасово заблокувати доступ до ресурсу photobucket.com з корпоративної мережі за допомогою функціоналу URL Filtering мережевого екрану.

Дана рекомендація реалізується за допомогою списків контролю доступу (ACL). Необхідно до нього внести список відомих серверів – командних центрів, та обов’язково журналювати таку активність. За допомогою журналювання, можна виявляти, чи відбулося ураження внутрішньо-корпоративних хостів.

Цю рекомендацію можна реалізувати за допомогою функціоналу Application Control на мережевих екранах, заблокувавши мережевий застосунок Tor/Tor comminications.
Також для зменшення ризиків, необхідно за допомогою Application Control заблокувати доступ до анонімайзерів, які також можуть бути вектором розповсюдження та доставки зловмисного коду.

Необхідно створити список контролю доступу на пограничному мережевому обладнанні або на мережевому екрані. Ним необхідно обмежити доступ з мережі Інтернет у корпоративний сегмент для портів 23, 80, 2000 та 8080 (залишити лише ті, які реально використовуються для відомих сервісів).

Необхідно обмежити доступ до адміністративного порталу мережевих пристроїв з мережі Інтернет, залишивши доступ лише з локальної мережі, або лише з робочих станцій адміністратора. Також необхідно відключити можливості керування пристроєм з хмари.

Оскільки дана атака має на меті ураження пристроїв, що стоять на границі мережі і самі її захищають, інколи виконання рекомендацій може бути ускладненим. В такому випадку найважливішим є виконання пункту 3.5, а також налаштувати нуль-роутинг командних серверів (ip route X.X.X.X/32 Null0 для кожного з командних серверів).