Согласно данным
, с мая 2021 года Linux-вреднос AVrecon заразил более 70 000 SOHO-роутеров и сделал большинство из них частью ботнета, который специализируется на создании скрытых резидентных прокси.
Такие прокси позволяют операторам ботнета маскировать широкий спектр вредоносных действий, от мошенничества с цифровой рекламой до атак типа password spraying.
По данным исследователей, несмотря на то, что троян удаленного доступа AVrecon (RAT) скомпрометировал более 70 000 устройств, только 40 000 из них стали частью ботнета, когда малварь закрепилась на устройстве.
AVrecon удавалось долгое время практически полностью избегать обнаружения, хотя впервые его еще в мае 2021 года, когда вредонос был нацелен на маршрутизаторы Netgear. С тех пор ботнет оставался незамеченным на протяжении двух лет и постепенно рос, к настоящему моменту став одним из крупнейших в мире ботнетов, ориентированных на маршрутизаторы.
После заражения малварь передает информацию о взломанном маршрутизаторе на встроенный адрес управляющего сервера. После установления контакта взломанному устройству дается указание установить связь с другой группой серверов — управляющими серверами второго этапа. Исследователи обнаружили 15 таких серверов, которые, судя по информации о сертификатах x.509, работают как минимум с октября 2021 года.
Эксперты отмечают, что им удалось навредить работе AVrecon, обнулив маршрутизацию для управляющего сервера ботнета в своей магистральной сети. Фактически это разорвало соединение между ботнетом и его управляющей инфраструктурой, что значительно ограничило малварь в выполнении вредоносных действий.
Такие прокси позволяют операторам ботнета маскировать широкий спектр вредоносных действий, от мошенничества с цифровой рекламой до атак типа password spraying.
По данным исследователей, несмотря на то, что троян удаленного доступа AVrecon (RAT) скомпрометировал более 70 000 устройств, только 40 000 из них стали частью ботнета, когда малварь закрепилась на устройстве.
AVrecon удавалось долгое время практически полностью избегать обнаружения, хотя впервые его еще в мае 2021 года, когда вредонос был нацелен на маршрутизаторы Netgear. С тех пор ботнет оставался незамеченным на протяжении двух лет и постепенно рос, к настоящему моменту став одним из крупнейших в мире ботнетов, ориентированных на маршрутизаторы.
После заражения малварь передает информацию о взломанном маршрутизаторе на встроенный адрес управляющего сервера. После установления контакта взломанному устройству дается указание установить связь с другой группой серверов — управляющими серверами второго этапа. Исследователи обнаружили 15 таких серверов, которые, судя по информации о сертификатах x.509, работают как минимум с октября 2021 года.
Эксперты отмечают, что им удалось навредить работе AVrecon, обнулив маршрутизацию для управляющего сервера ботнета в своей магистральной сети. Фактически это разорвало соединение между ботнетом и его управляющей инфраструктурой, что значительно ограничило малварь в выполнении вредоносных действий.
