Sâu máy tính tấn công lỗ hổng bộ định tuyến Linksys, Asus

09:07 | 03/03/2014 | LỖ HỔNG ATTT

Ngày 17/2, một loại sâu máy tính (worm) khai thác lỗ hổng bảo mật trong một số bộ định tuyến đã được các chuyên viên nghiên cứu bảo mật tại Học viện SANS Internet Storm Center khám phá và đặt tên TheMoon.

Sâu máy tính tấn công lỗ hổng bộ định tuyến Linksys, Asus

Bộ định tuyến (router) Linksys mắc lỗi khiến người dùng đối mặt nguy cơ bị mã độc đánh cắp dữ liệu khi sử dụng mạng

Thông tin ban đầu từ SANS ISC cho thấy lỗi bảo mật xuất phát từ trong một tập tin mã CGI thuộc giao diện quản trị của nhiều dòng sản phẩm router (bộ định tuyến) E-Series của Linksys. Để đảm bảo an toàn, nhóm nghiên cứu không công bố tên của tập tin CGI mang lỗi.

Theo ComputerWorld, danh sách router Linksys mang nguy cơ bảo mật trước mã độc TheMoon không chỉ có dòng E-Series mà cả N-Series. Cụ thể, các model sau: E4200, E3200, E3000, E2500, E2100L, E2000, E1550, E1500, E1200, E1000, E900, E300, WAG320N, WAP300N, WAP610N, WES610N, WET610N, WRT610N, WRT600N, WRT400N, WRT320N, WRT160N và WRT150N. Người khám phá lỗi cho biết trên Reddit, "danh sách có thể chưa chính xác hoặc chưa đầy đủ".

Đáng chú ý một số dòng router cũ như E1000 không còn được hỗ trợ từ nhà sản xuất nên sẽ không có bản vá lỗi cập nhật firmware.

Trước đó ngày 16/2, trên mạng Reddit, một tài khoản người dùng tuyên bố có đến bốn tập tin mã CGI mang lỗi. Kế đến, một hacker chuyên viết công cụ khai thác lỗi đã xác nhận hai trong số bốn tập tin trên có lỗi, và đồng thời công khai hướng khai thác.

Trước thông tin trên, Linksys đã xác nhận một vài sản phẩm router (bộ định tuyến) và access point (bộ khuếch tán sóng không dây) Wireless-N, và một số model cũ của router Linksys E-Series bị ảnh hưởng bởi lỗi nhưng không cho biết cụ thể model nào.

Theo giám đốc truyền thông Belkin (Belkin quản lý mảng kinh doanh thiết bị mạng gia đình Linksys từ Cisco vào ngày 24/1/2013) Karen Sohl đưa ra thông cáo qua email, "loại sâu (TheMoon) khai thác lỗi, vượt qua khâu chứng thực quyền quản trị thành công chỉ khi tính năng quản lý truy cập từ xa (Remote Management Access) được kích hoạt". Các sản phẩm này đều được Linksys mặc định tắt đi chức năng RMA khi bán ra thị trường.

Karen Sohl khuyến cáo người tiêu dùng có thể khóa (disable) chức năng quản lý kết nối từ xa và khởi động lại router để gỡ bỏ mã độc. Bản firmware khắc phục lỗi sẽ được phát hành trong thời gian tới trên website.

Linksys đăng tải phần hướng dẫn kỹ thuật trên website của mình nhằm giúp khách hàng có thể cài đặt firmware mới nhất và khóa chức năng quản lý truy cập từ xa trên những thiết bị trong nhóm mang nguy cơ bảo mật.

* Các router bị nhiễm TheMoon sẽ "thoát" khỏi mã độc này khi khởi động lại (restart / reset). Ngoài ra, các router đã cập nhật firmware phiên bản 2.0.06 cũng không bị ảnh hưởng bởi lỗi.

Router Asus và lời nhắn của hacker trên ổ cứng nạn nhân

Ảnh chụp màn hình thông điệp hacker để lại trên máy tính nạn nhân sau khi hack qua lỗi bảo mật từ router Asus

Nạn nhân nhận được một tập tin mang nội dung là lời nhắn cảnh báo của hacker để lại trong ổ cứng của mình, "Router Asus của bạn (và các tài liệu) có thể bị truy xuất bởi bất kỳ ai trên thế giới có kết nối Internet. Bạn cần bảo vệ chính mình, tham khảo tại...: (kèm liên kết dẫn đến thông tin về lỗi)".

Trước đó, một nhóm hacker đăng tải lên mạng Pastebin danh sách 13.000 địa chỉ IP dùng router Asus "phơi mình" trước lỗi. Kế đến, nhóm này đưa thêm một danh sách 10.000 tên các tập tin lưu trữ trên những ổ đĩa cứng hay ổ đĩa USB cắm vào router Asus.

Thực chất, một chuyên viên bảo mật mang tên Kyle Lovett đã công bố chi tiết lỗi này vào giữa năm 2013. Theo Lovette, các model router Asus bị ảnh hưởng bởi lỗi gồm: RT-AC66R, RT-AC66U, RT-N66R, RT-N66U, RT-AC56U, RT-N56R, RT-N56U, RT-N14U, RT-N16, và RT-N16R.

Asus chỉ mới phát hành bản vá lỗi firmware 3.0.0.4.374.4422 cho ba model router gồm: RT-N66U (Ver.B1), RT-N66R và RT-N66W vào ngày 13/2/2014. Một số model khác cũng có bản firmware mới. Asus khuyến cáo người dùng tải và cài đặt bản firmware mới nhất qua website của mình.

Ngoài ra, giới bảo mật khuyến cáo người dùng nên thay đổi mật khẩu quản trị (admin) của router, tắt các chức năng quản trị truy cập từ xa, Cloud (dịch vụ đám mây), FTP… khi không cần dùng đến.

Asus đã có bản cập nhật khắc phục lỗi cho Asus RT-N66U (VER.B1) và các model router khác

‹ › ×

Tin liên quan

7 bước bảo mật hữu hiệu cho bộ định tuyến Wifi

02:00 | 30/10/2019

Việc thiết lập một bộ định tuyến tại gia đình là tương đối phức tạp đối với một số người dùng thông thường. Để việc thiết lập trở nên dễ dàng hơn, các nhà sản xuất bộ định tuyến đã thêm vào các nút bấm để thiết lập mặc định. Tuy nhiên, những thiết lập mặc định này hoàn toàn không đảm bảo được an toàn cho người dùng. Bài viết dưới đây của kaspersky.proguide sẽ giúp người dùng thực hiện những bước bảo mật an toàn cho bộ định tuyến.

ASUS phát hành bản vá các lỗ hổng nghiêm trọng trong bộ định tuyến

07:00 | 26/06/2023

Vừa qua, ASUS đã phát hành bản vá để giải quyết 9 lỗ hổng mức cao và nghiêm trọng trong nhiều bộ định tuyến, đồng thời hãng cũng cảnh báo khách hàng nên cập nhật ngay hoặc hạn chế quyền truy cập mạng WAN cho đến khi các thiết bị được bảo mật an toàn.

Lỗ hổng CVE-2021-20090 ảnh hưởng đến hàng triệu thiết bị IOT

09:00 | 13/08/2021

Các hacker đang tích cực khai thác lỗ hổng nghiêm trọng có định danh CVE-2021-20090 có khả năng vượt qua lớp xác thực, tồn tại trên hàng triệu thiết bị định tuyến gia đình sử dụng firmware từ Arcadyan.

Tin cùng chuyên mục

Tin tặc Iran tấn công Brute Force vào các cơ sở hạ tầng quan trọng

10:00 | 25/10/2024

Các cơ quan chính phủ tại Mỹ, Úc và Canada đưa ra cảnh báo các tác nhân đe dọa được nhà nước Iran bảo trợ sử dụng kỹ thuật tấn công Brute Force và nhiều phương thức khác để triển khai các chiến dịch tấn công mạng nhắm vào các tổ chức cơ sở hạ tầng quan trọng.

Khám phá biến thể mới của phần mềm độc hại Copybara

09:00 | 16/10/2024

Các nhà nghiên cứu của hãng bảo mật Zscaler (Mỹ) đã phân tích một biến thể mới của Copybara, một họ phần mềm độc hại Android xuất hiện vào tháng 11/2021. Copybara là một Trojan chủ yếu lây nhiễm thông qua các cuộc tấn công lừa đảo bằng giọng nói (vishing), trong đó nạn nhân nhận được hướng dẫn qua điện thoại để cài đặt phần mềm độc hại Android. Bài viết sẽ phân tích về biến thể mới của Copybara dựa trên báo cáo của Zscaler.

Hàng triệu xe ô tô Kia có thể bị tin tặc kiểm soát bằng cách quét biển số xe

13:00 | 07/10/2024

Các nhà nghiên cứu cho biết một lỗ hổng bảo mật khiến hàng triệu chiếc xe Kia sản xuất từ năm 2023 có thể bị chiếm quyền điều khiển, cho phép kẻ tấn công kiểm soát từ xa.

CISA cảnh báo lỗ hổng nghiêm trọng Ivanti vTM đang bị khai thác tích cực

14:00 | 02/10/2024

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đưa ra cảnh báo về một lỗ hổng bảo mật nghiêm trọng trong Ivanti Virtual Traffic Manager (vTM) đang bị khai thác tích cực bởi các hacker.