„Ballista“ robotų tinklas: kibernetinė grėsmė, naudojanti TP-Link Archer maršrutizatorius

Kibernetinio saugumo tyrinėtojai atskleidė kitą robotų tinklo kampaniją, pavadintą Ballista, kuri buvo skirta nepataisytiems TP-Link Archer maršrutizatoriams. Kampanija, pirmą kartą aptikta 2025 m. sausio 10 d., naudoja žinomą pažeidžiamumą (CVE-2023-1389), kad įsiskverbtų į įrenginius ir išplistų internete. Skirtingai nuo kitų botnetų, kurie anksčiau išnaudojo šį trūkumą, atrodo, kad „Ballista“ yra aktyviai kuriama, o tai kelia didelį susirūpinimą vartotojams ir organizacijoms visame pasaulyje.

Kas yra „Ballista Botnet“?

„Ballista“ yra kenkėjiškos programinės įrangos kampanija, skirta pažeidžiamiems TP-Link Archer AX-21 maršrutizatoriams pakenkti. Jame naudojamas CVE-2023-1389 – labai rimtas saugos trūkumas, leidžiantis įvesti komandas ir galiausiai nuotolinį kodo vykdymą (RCE). Kai maršruto parinktuvas yra pažeistas, „Ballista“ įdiegia save, sukuria užšifruotą komandų ir valdymo (C2) kanalą ir seka struktūrizuotą atakų seką, kad pasiektų savo tikslus.

Robotų tinklas plinta vykdydamas kenkėjiškų programų lašintuvą, identifikuotą kaip „dropbpb.sh“, kuris paima ir paleidžia pagrindinį naudingąjį apkrovą užkrėstuose įrenginiuose. Ši kenkėjiška programa gali veikti įvairiose sistemos architektūrose, įskaitant mips, mipsel, armv5l, armv7l ir x86_64. Patekęs į vidų, robotų tinklas vykdo komandas, vykdo paslaugų atsisakymo (DoS) atakas ir netgi ištrina savo buvimo pėdsakus, kad būtų išvengta aptikimo.

Ko Ballista siekia pasiekti?

Atrodo, kad pagrindinis „Ballista“ tikslas yra įgyti įvairių kenkėjiškų tikslų pažeistų įrenginių kontrolę. Kai kurios pagrindinės funkcijos apima:

• „Shell“ komandų vykdymas: kenkėjiška programa leidžia užpuolikams nuotoliniu būdu paleisti „Linux“ apvalkalo komandas, suteikiant jiems didelę užkrėsto maršruto parinktuvo kontrolę.
• Paslaugų atsisakymo (DoS) atakos: Naudodama komandą, žinomą kaip „užliejimas“, „Ballista“ gali inicijuoti potvynių atakas, sutrikdydama tinklo operacijas.
• Išplitimas į kitus maršruto parinktuvus: kenkėjiška programa gali išnaudoti tą patį pažeidžiamumą kituose nepataisytuose maršruto parinktuvuose ir žymiai padidinti savo pasiekiamumą.
• Prieiga prie duomenų ir išfiltravimas: bandoma nuskaityti slaptus failus iš pažeistos sistemos, todėl gali būti atskleista konfidenciali informacija.
• Savęs išsaugojimas ir evoliucija: Ballista skirta pašalinti ankstesnes savo versijas, užtikrinant, kad būtų aktyvi tik naujausia iteracija. Be to, naujausi naujinimai rodo, kad botnetas perėjo nuo užkoduotų IP adresų prie TOR tinklo domenų naudojimo, todėl jį sunkiau sekti ir sušvelninti.

Kokios yra pasekmės?

„Ballista“ atsiradimas išryškina nuolatinius saugumo iššūkius prie interneto prijungtiems įrenginiams, ypač vartotojams skirtiems maršrutizatoriams, kurie dažnai nepataisomi. Botneto pasiekiamumas yra platus – Brazilijoje, Lenkijoje, Jungtinėje Karalystėje, Bulgarijoje ir Turkijoje yra daugiau nei 6 000 tikslinių įrenginių. Tai taip pat buvo siejama su išpuoliais prieš įmones gamybos, sveikatos priežiūros, paslaugų ir technologijų sektoriuose Jungtinėse Amerikos Valstijose, Australijoje, Kinijoje ir Meksikoje.

Šio botneto pasekmės neapsiriboja atskiromis maršrutizatoriaus infekcijomis. Kadangi pažeisti įrenginiai gali būti panaudoti didelio masto kibernetinėms atakoms, „Ballista“ gali prisidėti prie pasaulinių kibernetinių grėsmių, įskaitant:

• Padidėjęs robotų tinklo atakų skaičius: augant užkrėstų įrenginių skaičiui, užpuolikai gali naudoti „Ballista“ koordinuotoms DoS atakoms, sugadindami tikslines paslaugas.
• Duomenų pažeidimai ir šnipinėjimas: prieiga prie neskelbtinų failų gali sukelti neteisėtą duomenų išfiltravimą, o tai gali sukelti pavojų tiek asmenims, tiek organizacijoms.
• Tiekimo grandinės pažeidžiamumas: Įmonės, pasikliaujančios pažeistais maršrutizatoriais, gali nesąmoningai tapti didesnių kibernetinių nusikaltėlių kampanijų dalimi.
• Sunkumai sekant ir neutralizuojant: botnetui perėjus prie TOR tinklo domenų naudojimo, tampa sunkiau tiksliai nustatyti užpuolikus ir nutraukti jų veiklą.

Kaip apsisaugoti nuo Ballistos?

Atsižvelgiant į grėsmės rimtumą, vartotojai turi imtis aktyvių veiksmų, kad apsaugotų savo maršrutizatorius:

1. Atnaujinkite maršrutizatoriaus programinę-aparatinę įrangą: įsitikinkite, kad TP-Link Archer AX-21 programinė įranga yra atnaujinta iki naujausios versijos, nes gamintojai reguliariai išleidžia pataisas, kad ištaisytų saugos spragas.
2. Išjungti nuotolinį valdymą: jei nereikia, išjunkite nuotolinės prieigos funkcijas, kad išvengtumėte neteisėtų ryšių.
3. Naudokite stiprius kredencialus: venkite numatytųjų prisijungimo duomenų ir naudokite sudėtingus slaptažodžius maršrutizatoriaus administravimui.
4. Stebėti tinklo srautą: neįprasta veikla, pvz., išeinančio srauto šuoliai, gali rodyti infekciją.
5. Gamyklinių duomenų atkūrimas ir konfigūravimas iš naujo: jei įtariama, kad įrenginys pažeistas, atkūrus gamyklinius nustatymus ir nustatant jį nuo nulio, kenkėjiška programa gali būti pašalinta.
6. Įdiekite ugniasienės taisykles: apribokite nereikalingą prieigą prie administracinių prievadų ir blokuokite įtartinus IP adresus.

Kelias priekyje

„Ballista“ nėra pirmasis robotų tinklas, išnaudojantis maršrutizatoriaus pažeidžiamumą, ir tikrai nebus paskutinis. Italų kalbos eilučių buvimas kenkėjiškų programų dvejetainiuose failuose rodo galimą kilmę, tačiau dėl besikeičiančio pobūdžio tikrieji operatoriai lieka nežinomi. Botneto perėjimas prie anoniminių tinklų rodo, kad jis aktyviai tobulinamas, todėl švelninimo pastangos tampa sudėtingesnės.

Nors „Ballista“ ir toliau skiriasi nuo kitų robotų tinklų, tokių kaip „Mirai“ ir „Mozi“, jos gebėjimas savarankiškai plisti ir vykdyti galingas atakas daro jį pastebimu patobulinimu kibernetinio saugumo srityje. Kai paaiškės daugiau detalių, norint užkirsti kelią plačiai paplitusiai žalai, būtina būti informuotam ir imtis būtinų atsargumo priemonių.

Suteikdami pirmenybę saugos naujinimams ir vadovaudamiesi geriausios praktikos pavyzdžiais, vartotojai gali sumažinti „Ballista“ ir panašių grėsmių riziką. Kova su botnetais tebevyksta, tačiau sąmoningumas ir savalaikiai veiksmai gali gerokai apriboti jų poveikį.