Mirai розгортає ботнет на вразливих NAS D-Link

На початку квітня 2024 року було опубліковано інформацію про вразливості NAS-пристроїв компанії D-Link. Мова йде про вразливості CVE-2024-3272 та CVE-2024-3273 та проблеми, які виражені в наявності жорстко закодованого користувача messagebus з пустим паролем, а також можливості проведення ін’єкції команд шляхом додавання команди через параметр system, яка закодована у вигляди base64-string, через відправку HTTP GET-запиту. Експлуатація вразливостей надає зловмиснику можливість виконувати будь-які команди на пристроях та існує вірогідність їх компрометації та повного захоплення керування пристроєм.

Проблеми стосуються старих моделей NAS-пристроїв D-Link:

• DNS-320L — версії 1.11, 1.03.0904.2013, 1.01.0702.2013;
• DNS-325 — версія 1.01;
• DNS-327L — версії 1.09, 1.00.0409.2013;
• DNS-340L — версія 1.08.

Експерти з інформаційної безпеки шляхом сканування мережі Інтернет виявили більше 92000 вразливих пристроїв, які доступні в мережі. ІБ-спеціалісти з GreyNoise та ShadowServer виявили використання вразливостей для розгортання малварі Mirai, яка використовує скомпрометовані пристрої для проведення масштабних DDoS-атак.

Підтримка пристроїв, які мають вразливості CVE-2024-3272 та CVE-2024-3273 завершена виробником, відповідно не варто розраховувати на появу патчів. Користувачам вразливих пристроїв експерти з ІБ наполегливо радять відмовитись від використання проблемних NAS пристроїв, або обмежити доступ до них з мережі Інтернет.