Mirai разворачивает ботнет на уязвимых NAS D-Link

В начале апреля 2024 года была опубликована информация о уязвимостях сетевых хранилищ NAS компании D-Link. Речь идет об уязвимостях CVE-2024-3272 и CVE-2024-3273, а именно о проблемах, связанных с наличием жестко закодированного пользователя messagebus с пустым паролем, а также возможности проведения инъекции команд путем добавления команды через параметр system, которая закодирована в виде base64-строки, при отправке HTTP GET-запроса. Эксплуатация уязвимостей предоставляет злоумышленнику возможность выполнения любых команд на устройствах и существует вероятность их компрометации и полного захвата управления устройств.

Проблемы затрагивают старые модели NAS-устройств D-Link:

• DNS-320L — версии 1.11, 1.03.0904.2013, 1.01.0702.2013;
• DNS-325 — версия 1.01;
• DNS-327L — версии 1.09, 1.00.0409.2013;
• DNS-340L — версия 1.08.

Эксперты по информационной безопасности, сканируя Интернет, обнаружили более 92000 уязвимых устройств, доступных в сети. Инцидентные отделы GreyNoise и ShadowServer выявили использование этих уязвимостей для развертывания малвари Mirai, которая использует скомпрометированные устройства для осуществления масштабных DDoS-атак.

Производитель прекратил поддержку устройств с уязвимостями CVE-2024-3272 и CVE-2024-3273, поэтому не стоит ожидать выпуска патчей. Эксперты по информационной безопасности настоятельно рекомендуют пользователям уязвимых устройств отказаться от их использования или ограничить доступ к ним из Интернета.