Remaiten – botnet wykorzystujący usługę Telnet do infekowania sieciowych urządzeń
-
- Janusz Chustecki,
- 01.04.2016, godz. 09:19
Instalowanie botnetów na takich osadzonych systemach jak routery, punkty dostępowe czy modemy nie wymaga dużej wiedzy informatycznej. Nie oznacza to, że ataki takie należy lekceważyć. Ostatnio pojawiło się nowe zagrożenie tego typu noszące nazwę Remaiten. Wykorzystuje ono fakt, że świadczone przez osadzone systemy wspierają usługę Telnet, która jest na dodatek bardzo słabo zabezpieczona.
Rzecz w tym, że hasła zapewniające dostęp do usługi Telnet są bardzo słabe. Remaiten (wykryty przez informatyków z firmy Eset) wydaje się być kolejnym wcieleniem znanego wcześniej linuksowego zagrożenia DDoS. Malware generuje przypadkowe adresy IP i próbuje się połączyć z takim urządzeniem za pośrednictwem portu 23 (Telnet). Jeśli urządzenie świadczy taką usługę, malware próbuje się uwierzytelnić podając nazwę użytkownika i hasło, pobierając je z listy zawierającej najczęściej używane poświadczenia tego typu.
Jeśli logowanie się uda, robak generuje kilka poleceń, starając się w ten sposób określić architekturę urządzenia. Wtedy instaluje w pamięci urządzenia właściwy malware, który nawiązuje łączność ze zdalnym serwerem command-and-control.
Botnet inicjuje różne wersje ataków DDoS. Informatycy z firmy Eset są zdziwieni, że w dalszym ciągu bardzo wiele urządzeń sieciowych wspiera protokół Telnet, a nie bezpieczniejszą metodę logowanie się przy użyciu protokołu SSH.
Dlatego użytkownicy urządzeń sieciowych powinni zaopatrzyć się narzędzie skanujące porty i sprawdzić czy port oznaczony numerem 23 jest otwarty. Jeśli stwierdzą iż rzeczywiście ma to miejsce, powinni go natychmiast zamknąć.
