Реалтек хд: Скачать Realtek HD и AC97 Audio Drivers драйвер для звука

Realtek SDK выявляют угрозы цепочки поставок IoT

Этот пост также доступен в: 日本語 (японский)

Исследователи подразделения 42 просматривают десятки миллионов записей об атаках каждый месяц, и в большинстве месяцев атаки, нацеленные на одну уязвимость, не превышают 10% от общего числа атак. Однако мы обнаружили, что в период с августа по октябрь 2022 года количество атак, пытающихся использовать уязвимость удаленного выполнения кода Realtek Jungle SDK (CVE-2021-35394), составило более 40% от общего числа атак.

По состоянию на декабрь 2022 года мы наблюдали 134 миллиона попыток эксплойта с использованием этой уязвимости, и около 97% этих атак произошли после начала августа 2022 года. На момент написания статьи атака все еще продолжается.

Многие из наблюдаемых нами атак пытались доставить вредоносное ПО для заражения уязвимых устройств IoT. Это говорит нам о том, что группы угроз используют эту уязвимость для проведения крупномасштабных атак на интеллектуальные устройства по всему миру. Хотя обнаруженные нами атаки были успешно заблокированы нашими продуктами, важно оценить защиту этих устройств в вашей среде. Поскольку устройства и маршрутизаторы IoT часто не рассматриваются как часть системы безопасности организации, многие устройства и организации все еще могут подвергаться риску.

CVE-2021-35394 затрагивает почти 190 моделей устройств от 66 разных производителей. Мы считаем, что эта уязвимость привлекла так много злоумышленников, потому что проблемы с цепочкой поставок могут затруднить для обычного пользователя идентификацию уязвимых продуктов, которые используются.

В ответ на это тревожное явление мы тщательно изучили все записи об атаках этой уязвимости с момента ее раскрытия до декабря 2022 года для анализа.

Клиенты Palo Alto Networks получают защиту от семейств уязвимостей и вредоносных программ, упомянутых в этом посте, с помощью брандмауэра нового поколения с облачными службами безопасности, включая WildFire. Расширенная фильтрация URL-адресов и безопасность DNS могут блокировать домен управления и контроля (C2) и URL-адреса размещения вредоносных программ. Наша платформа IoT Security может помочь выявить аномальный сетевой трафик, а также определить производителя, модель и версию микропрограммы устройства, чтобы идентифицировать конкретные устройства, уязвимые для вышеупомянутого CVE.

Vulnerability Overview
Malware Analysis
Attack Origin Analysis
Conclusion
Indicators of Compromise
Infrastructure
Malicious IPs
Callback URLs
Artifacts
RedGoBot Malware Sample
Mirai Samples

CVE -2021-35394 была обнаружена 16 августа 2021 г. Уязвимость затрагивает UDPServer в Realtek Jungle SDK версии 2.0 и более поздней версии Realtek Jungle SDK версии 3.4.14B. Удаленные злоумышленники, не прошедшие проверку подлинности, могут использовать эту уязвимость для выполнения произвольной команды, что приводит к захвату устройств.

Чипсеты Realtek используются многими поставщиками IoT в различных продуктах. Это типичная проблема цепочки поставок, поскольку может быть трудно определить, затронуты ли ваши собственные устройства, поскольку набор микросхем может быть не виден снаружи устройства. Согласно сканированию Shodan в поисках этой уязвимости, мы обнаружили, что порт 9034 открыт более чем на 80 различных устройствах IoT, и эти устройства принадлежат 14 уникальным поставщикам. 2021-35394. На основе краудсорсинговых данных из корпоративных сетей, отслеживаемых продуктом Palo Alto Networks IoT Security, бренды в таблице 1 имеют самые популярные уязвимые устройства в развертываниях среднего и крупного размера. Уязвимости цепочки поставок в этих продуктах напрямую способствуют расширению поверхности для атак на эти сети.

(Обратите внимание, что поставщики, производящие эти устройства, могли выпускать обновленные версии или рекомендации по уменьшению опасности. Однако организации иногда продолжают использовать уязвимые модели, и злоумышленники пользуются такими ситуациями.)

Таблица 1. Уязвимые сетевые устройства IoT.

Основываясь на реальных атаках, мы обнаружили следующие три типа полезной нагрузки:

• Сценарий выполняет команду оболочки на целевом сервере. Этот сценарий активно подключается к вредоносному IP-адресу и автоматически загружает и запускает вредоносное ПО (показано на рис. 1). Эти угрозы были в основном из семейства вредоносных программ Mirai.

• Внедренная команда напрямую записывает двоичную полезную нагрузку в файл, а затем выполняет ее (показано на рис. 2).

• Введенная команда напрямую перезагружает целевой сервер для достижения отказа в обслуживании (показано на рис. 3).

Исследователи подразделения 42 провели анализ образцов вредоносных программ, доставленных с использованием CVE-2021-35394. Судя по атакам, которые мы наблюдали в реальных условиях, большинство образцов вредоносных программ относятся к известным семействам вредоносных программ, таким как Mirai, Gafgyt и Mozi. Мы также наблюдали новый ботнет с распределенным отказом в обслуживании (DDoS), разработанный на Голанге, под названием RedGoBot (SHA256: 26e96945ee32199536d4c85124a24c28e853b557eb31f3907d19f08b9798dff4)

Первая кампания RedGoBot впервые наблюдалась в начале сентября 2022 года. Злоумышленник пытается доставить загрузчик сценария оболочки znet.sh с адреса 185.216.71[.]157, используя wget

Скрипт загружает следующие файлы:

• hxxp://185.216.71[.]157/Bins_Bot_hicore_amd64
• hxxp://185.216.71[.]157/Bins_Bot_hicore_arm64
• hxxp://185.216.71[.]157/Bins_Bot_hicore_arm
• hxxp://185.216.71[.]157/Bins_Bot_hicore_mips
• hxxp://185.216.71[.]157/Bins_Bot_hicore_mips64
• hxxp://185.216.71[.]157/Bins_Bot_hicore_ppc64
• hxxp://185. 216.71[.]157/Bins_Bot_hicore_ppc64le
• hxxp://185.216.71[.]157/Bins_Bot_hicore_s390x
• hxxp://185.216.71[.]157/Bins_Bot_hicore_mipsle
• hxxp://185.216.71[.]157/Bins_Bot_hicore_mips64le

Вторая волна кампании RedGoBot наблюдалась в ноябре 2022 года, когда злоумышленник переключил свой узел вредоносного ПО на 185.246.221[.]220.

В этой кампании сценарий оболочки использует wget и curl для загрузки следующих клиентов ботнета для поддержки различных архитектур процессоров:

• hxxp://185.246.221[.]220/Bins_Bot_hicore_s390x
• hxxp://185.246.221[.]220/Bins_Bot_hicore_ppc64le
• hxxp://185.246.221[.]220/Bins_Bot_hicore_ppc64
• hxxp://185.246.221[.]220/Bins_Bot_hicore_mipsle
• hxxp://185.246.221[.]220/Bins_Bot_hicore_mips
• hxxp://185.246.221[.]220/Bins_Bot_hicore_arm64
• hxxp://185.246.221[.]220/Bins_Bot_hicore_arm
• hxxp://185.246.221[.]220/Bins_Bot_hicore_amd64

Клиент ботнета может принимать следующие команды канала управления и контроля (C2).

Таблица 2. Команды RedGoBot C2.

После получения команды атаки от оператора угрозы RedGoBot может выполнять DDoS-атаки по протоколам HTTP, ICMP, TCP, UDP, VSE и OpenVPN.

Таблица 3. Типы DDoS, поддерживаемые RedGoBot.

С августа 2021 г. по декабрь 2022 г. мы наблюдали в общей сложности 134 миллиона попыток эксплойта, нацеленных на CVE-2021-35394, причем 97% этих атак произошли после начала августа 2022 г. Более 30 международные регионы были вовлечены в качестве источника атак, при этом Соединенные Штаты были крупнейшим источником атак — 48,3% от общего числа. Вьетнам, Россия, Нидерланды, Франция, Люксембург и Германия также оказались в первой семерке стран, в которых мы наблюдали участие злоумышленников в этих атаках (показано на рис. 4). Однако мы понимаем, что злоумышленники могут использовать прокси-серверы и VPN, расположенные в этих странах, чтобы скрыть свое фактическое физическое местоположение.

На рис. 5 показано количество атак с разбивкой по месяцам с августа 2021 г. по декабрь 2022 г. для основных источников атак.

Начиная с августа 2022 года количество атак, нацеленных на эту уязвимость, начало увеличиваться и достигло пика в сентябре и октябре. В ноябре количество попыток атак резко уменьшилось, но все еще оставалось на довольно высоком уровне.

Также следует отметить, что около 95% атак используют CVE-2021-3539.4 из России предназначались для организаций в Австралии.

Более 98% атак из Вьетнама за этот период времени были направлены против CVE-2021-35394, и большинство атак из России и Нидерландов также использовали эту уязвимость.

По последним данным за ноябрь и декабрь, атаки против CVE-2021-35394 внезапно появились в большом количестве из Люксембурга (что составляет 94,6% от общего числа атак в регионе). Атаки, направленные на эту уязвимость из Вьетнама, на долю которых приходилось высокая доля в предыдущие месяцы, значительно снизились в ноябре и декабре (составляя 3% от общего числа атак в регионе). Это может означать, что злоумышленник меняет прокси-сервер, продолжая использовать эту уязвимость.

На рис. 6 показан процент атак на CVE-2021-35394 от общего числа атак с августа по декабрь 2022 года. по меньшей мере.

Следующие IP-адреса были 12 основными инициаторами атак, нацеленных на CVE-2021-35394.

IP	Область источника атаки	Количество атак (млн)
199.195.251[.]190	США	39,8
172.81.41[.]196	США	17,2
103.149.137[.]124	Вьетнам	10,6
103.149.137[.]138	Вьетнам	10,5
46.249.32[.]181	Нидерланды	9,9
37.44.238[.]148	Франция	1,7
37.44.238[.]185	Франция	1,3
37.44.238[.]217	Франция	1,2
69. 67.150[.]36	США	1,2
37.44.238[.]144	Франция	1,2
103.149.137[.]192	Вьетнам	1,2
185.122.204[.]30	Россия	1,1

Таблица 4. IP-адреса основных злоумышленников.

Мы также проанализировали и расшифровали всю полезную нагрузку атаки, что позволило нам обобщить вредоносную полезную нагрузку, которая подключается к другим сайтам размещения вредоносных программ, о которых мы упоминали ранее. Затем мы подсчитали URL-адреса обратного вызова, которые появлялись чаще, что показано в таблице ниже. Область источника атаки в каждой ячейке указана в порядке от наибольшего количества атак до наименьшего.

Из этих данных видно, что при запуске кампании злоумышленники могли размещать вредоносное ПО на нескольких сайтах. Это позволяет им отправлять вредоносную полезную нагрузку для атаки из разных регионов, либо используя машины в определенном регионе, либо компрометируя устройство в регионе и давая ему команду распространить угрозу.

Наличие надежных средств защиты может помочь вам заблокировать вредоносный трафик, который мы описали. Если вы подтвердите, что на устройство повлияло вредоносное ПО, упомянутое в этом посте, необходимо выполнить сброс настроек к заводским настройкам на устройстве и переустановить последнюю версию его программного обеспечения.

Дома, если у вас есть устройства IoT или сетевые устройства из вышеупомянутого списка поставщиков и вы давно не искали обновления или исправления программного обеспечения, сейчас самое время сделать это. Если вы можете определить, что эти устройства работают медленно или отправляют большой объем трафика на неизвестные домены, это может быть признаком того, что ваше устройство подверглось нападению злоумышленников.

Мы настоятельно рекомендуем регулярно устанавливать исправления и обновления на интеллектуальные устройства, а также на традиционные настольные компьютеры и мобильные устройства, когда это возможно, чтобы обеспечить наилучшую защиту.

Клиенты Palo Alto Networks получают защиту от уязвимостей и вредоносного ПО, упомянутых в этом сообщении, с помощью следующих продуктов и услуг:

• Брандмауэры нового поколения с подпиской на систему защиты от угроз могут блокировать атаки с помощью передового опыта с помощью сигнатур предотвращения угроз 91535.
• WildFire может остановить вредоносное ПО, упомянутое в этой статье, с помощью обнаружения статических сигнатур.
• Расширенная фильтрация URL-адресов и безопасность DNS могут блокировать домен C2 и URL-адреса размещения вредоносных программ.
• Платформа безопасности Palo Alto Networks IoT может использовать информацию о сетевом трафике для определения производителя, модели и версии микропрограммы устройства, а также выявления конкретных устройств, уязвимых для вышеупомянутого CVE.
• Кроме того, IoT Security имеет встроенную функцию обнаружения аномалий на основе машинного обучения, которая может предупредить клиента, если устройство демонстрирует нетипичное поведение, например внезапное появление трафика из нового источника, необычно большое количество подключений или необъяснимое всплеск определенных атрибутов, обычно появляющихся в полезных нагрузках приложений IoT.

Инфраструктура

Вредоносные IP-адреса

• 199[.]195[.]251[.]190
• 172[.]81[.]41[.]196
• 103[.]149[.]137[.]124
• 103[.]149[.]137[.]138
• 46[.]249[.]32[.]181
• 69[.]67[.]150[.]36
• 103[.]149[. ]137[.]192
• 45[.]125[.]236[.]14
• 173[.]247[.]227[.]66
• 173[.]247[.]227[.]70
• 185[.]122[.]204[.]30
• 45[.]95[.]55[.]188
• 2[.]58[.]113[.]79
• 45[.]95[.]55[.]24
• 45[.]95[.]55[.]218
• 45[.]95[.]55[.]189
• 193[.]142[.]146[.]35
• 37[.]139[.]129[.]11
• 78[.]135[.]85[.]70
• 45[.]137[.]21[.]166
• 195[.]178[.]120[.]183
• 195[.]133[.]81[.]29
• 5[.]253[.]246[.]67
• 45[.]61[.]184[.]133
• 45[.]61[.]184[.]118
• 149[.]5[.]173[.]33
• 163[.]123[.]143[.]226
• 45[.]61[.]188[.]148
• 103[.]207[.]38[.]165
• 45[.]13[.]227[.]115
• 176[.]97[.]210[.]147
• 163[.]123[.]143[.]200
• 185[.]44[.]81[.]62
• 38[.]22[.]109[.]7
• 147[.]182[.]132[.]144
• 205[.]185[.]126[.]88
• 209[.]141[.]51[.]43
• 198[.]98[.]52[.]213
• 45[.

  Published in Разное

  Ваш комментарий будет первым

  Добавить комментарий Отменить ответ

  Ваш адрес email не будет опубликован. Обязательные поля помечены *

  Комментарий

  Имя*

  Email*

  Веб-сайт

  Scroll to the top

URL-адреса обратного вызова	Область источника атаки	Количество атак (миллионов)
hxxp://185[.]205[.]12[.]157/trc/TRC[.]mpsl	США, Нидерланды, Канада,	31,4
hxxp://172[.]81[.]41[.]196/trc/TRC[.]mpsl	, США, Германия	10,6
hxxp://135[.]148[.]104[.]21/мипсел	Вьетнам, Кения, Франция, США, Сингапур, Индия	8.1
hxxp://199[.]195[.]251[.]190/trc/TRC[.]mpsl	США, Канада, Германия,	2,0
hxxp://37[.]44[.]238[.]178/d/xd[.]mpsl	Франция, Кения, США,	1,7
hxxp://176[.]97[.]210[.]135/нападавший[.]mpsl	Франция, США	1,2
hxxp://198[.]98[.]56[.]129/trc/TRC[.]mpsl	США, Сент-Китс и Невис,	1,2
hxxp://141[. ]98[.]6[.]249/билли[.]sh	США, Кения,	1,1
hxxp://185[.]216[.]71[.]157/Bins_Bot_hicore_mipsle	США, Вьетнам, Кения, Франция	0,7
hxxp://45[.]140[.]141[.]205/bins/sora[.]mpsl	США, Германия, Нидерланды,	0,5