En ny malware-kampagne, kendt som "Hiatus", er rettet mod små virksomhedsroutere for at stjæle data og spionere på ofre.
Ny "Hiatus" Malware-kampagne angriber forretningsroutere
En ny malware-kampagne, kaldet "Hiatus", er rettet mod små virksomhedsroutere, der bruger HiatiusRAT-malware.
Den 6. marts 2023 offentliggjorde analysefirmaet Lumen et blogindlæg, der diskuterede denne ondsindede kampagne. I den Lumen blogindlæg, blev det anført, at "Lumen Black Lotus Labs® identificerede en anden, aldrig før set kampagne, der involverede kompromitterede routere."
HiatusRAT er en type malware kendt som en Remote Access Trojan (RAT). Fjernadgangstrojanske heste bruges af cyberkriminelle til at få fjernadgang og kontrol over en målrettet enhed. Den seneste version af HiatusRAT malware ser ud til at have været i brug siden juli 2022.
I Lumen blogindlægget blev det også udtalt, at "HiatusRAT tillader trusselsaktøren at fjerninteragere med systemet, og det anvender forudbygget funktionalitet – hvoraf nogle er meget usædvanlige – til at konvertere den kompromitterede maskine til en skjult proxy for trusselsaktør."
Brug af kommandolinjeværktøjet "tcpdump"., kan HiatusRAT fange netværkstrafikken, der passerer over den målrettede router, hvilket tillader tyveri af data. Lumen spekulerede også i, at de ondsindede operatører involveret i dette angreb sigter mod at oprette et skjult proxy-netværk via angrebet.
HiatusRAT er målrettet mod specifikke typer routere
HiatusRAT-malwaren bliver brugt til at angribe DrayTek Vigor VPN-routere, der er udtjent, specifikt 2690- og 3900-modellerne, der kører en i386-arkitektur. Disse er routere med høj båndbredde, der bruges af virksomheder til at give fjernarbejdere VPN-support.
Disse routermodeller bruges almindeligvis af små til mellemstore virksomhedsejere, som er i særlig risiko for at blive målrettet i denne kampagne. Forskere ved ikke, hvordan disse DrayTek Vigor-routere blev infiltreret i skrivende stund.
Over 4.000 maskiner blev fundet at være sårbare over for denne malware-kampagne i midten af februar, hvilket betyder, at mange virksomheder stadig er i risiko for angreb.
Angribere er kun rettet mod nogle få DrayTek-routere
Af alle DrayTek 2690 og 3900 routere, der er forbundet til internettet i dag, rapporterede Lumen en infektionsrate på kun 2 procent.
Dette indikerer, at de ondsindede operatører forsøger at holde deres digitale fodaftryk på et minimum for at begrænse eksponering og undgå registrering. Lumen foreslog også i det førnævnte blogindlæg, at denne taktik også bliver brugt af angribere til at "vedligeholde kritiske tilstedeværelsespunkter."
HiatusRAT udgør en løbende risiko
I skrivende stund udgør HiatusRAT en risiko for mange små virksomheder, hvor tusindvis af routere stadig er udsat for denne malware. Tiden vil vise, hvor mange DrayTek-routere, der med succes er målrettet i denne ondsindede kampagne.
