Vpnfilterマルウェアは百万台のルーターに感染しています-知っておくべきこと

VPNFilterとして知られる新しいルーターベースのマルウェアが500, 000を超えるルーターに感染したという最近の発見は、さらに悪いニュースになりました。 6月13日にリリースされる予定のレポートでは、Ciscoは200, 000を超える追加のルーターが感染し、VPNFilterの機能は当初考えられていたよりもはるかに悪いと述べています。 Ars Technicaは、Cisco水曜日に何を期待するかについて報告しました。

VPNFilterは、Wi-Fiルーターにインストールされるマルウェアです。すでに54か国のほぼ100万のルーターに感染しており、VPNFilterの影響を受けることが知られているデバイスのリストには、多くの一般的な消費者モデルが含まれています。 VPNFilterは、攻撃者が見つけてアクセスするために使用できるルーターエクスプロイトではないことに注意することが重要です。これは、ルーターに意図せずにインストールされるソフトウェアであり、恐ろしいことを行う可能性があります。

VPNFilterは、何らかの方法でルーターにインストールされるマルウェアであり、攻撃者がアクセスに使用できる脆弱性ではありません。

VPNFilterの最初の攻撃は、着信トラフィックに対する中間者攻撃を使用することです。次に、セキュアなHTTPS暗号化トラフィックを受け入れられないソースにリダイレクトしようとするため、そのトラフィックは通常の暗号化されていないHTTPトラフィックにフォールバックします。これを行うソフトウェアは、研究者によってsslerと名付けられ、Twitter.comやGoogleサービスなど、これを防ぐための特別な手段を備えたサイトに特別な規定を設けています。

トラフィックが暗号化されていない場合、VPNFilterは感染したルーターを通過するすべてのインバウンドおよびアウトバウンドトラフィックを監視できます。すべてのトラフィックを収集し、後で見るためにリモートサーバーにリダイレクトするのではなく、パスワードや銀行データなどの機密情報を含むことがわかっているトラフィックを特に対象とします。傍受されたデータは、ロシア政府との関係が既知のハッカーによって制御されているサーバーに送り返すことができます。

VPNFilterは、受信トラフィックを変更して、サーバーからの応答を偽造することもできます。これにより、マルウェアの痕跡を覆い、何か問題が発生していると判断する前に、マルウェアをより長く動作させることができます。 Talosのシニアテクノロジーリーダー兼グローバルアウトリーチマネージャーであるCraig WilliamsによってARS Technicaに与えられた着信トラフィックに対してVPNFilterができることの例は次のとおりです。

しかし、それはそれを超えて完全に進化しているようであり、今ではそれを可能にするだけでなく、侵害されたデバイスを通過するすべてを操作することができます。彼らは普通に見えるように銀行口座の残高を変更することができますが、同時にお金や潜在的にPGPキーなどを吸い取っています。デバイスに出入りするすべてのものを操作できます。

感染しているかどうかを判断するのは困難です（スキルセットとルーターモデルによって異なります）。研究者は、VPNFilterの影響を受けやすいことが知られているルーターを使用している人は、自分が感染していると想定し、ネットワークトラフィックの制御を取り戻すために必要な措置を講じることをお勧めします。

脆弱であることが知られているルーター

この長いリストには、VPNFilterの影響を受けやすいことが知られているコンシューマルーターが含まれています。モデルがこのリストに表示されている場合は、この記事の次のセクションの手順に従うことをお勧めします。「新規」とマークされたリスト内のデバイスは、最近脆弱性が見つかったルーターです。

Asusデバイス：

RT-AC66U（新規）
RT-N10（新規）
RT-N10E（新規）
RT-N10U（新規）
RT-N56U（新規）

D-Linkデバイス：

DES-1210-08P（新規）
DIR-300（新規）
DIR-300A（新規）
DSR-250N（新規）
DSR-500N（新規）
DSR-1000（新規）
DSR-1000N（新規）

Huaweiデバイス：

HG8245（新規）

Linksysデバイス：

E1200
E2500
E3000（新規）
E3200（新規）
E4200（新規）
RV082（新規）
WRVS4400N

Mikrotikデバイス：

CCR1009（新規）
CCR1016
CCR1036
CCR1072
CRS109（新規）
CRS112（新規）
CRS125（新規）
RB411（新規）
RB450（新規）
RB750（新規）
RB911（新規）
RB921（新規）
RB941（新規）
RB951（新規）
RB952（新規）
RB960（新規）
RB962（新規）
RB1100（新規）
RB1200（新規）
RB2011（新規）
RB3011（新規）
RB Groove（新規）
RB Omnitik（新規）
STX5（新規）

Netgearデバイス：

DG834（新規）
DGN1000（新規）
DGN2200
DGN3500（新規）
FVS318N（新規）
MBRN3000（新規）
R6400
R7000
R8000
WNR1000
WNR2000
WNR2200（新規）
WNR4000（新規）
WNDR3700（新規）
WNDR4000（新規）
WNDR4300（新規）
WNDR4300-TN（新規）
UTM50（新規）

QNAPデバイス：

TS251
TS439 Pro
QTSソフトウェアを実行している他のQNAP NASデバイス

TP-Linkデバイス：

R600VPN
TL-WR741ND（新規）
TL-WR841N（新規）

ユビキティデバイス：

NSM2（新規）
PBE M5（新規）

ZTEデバイス：

ZXHN H108N（新規）

するべきこと

現時点で、可能になり次第、ルーターを再起動する必要があります。これを行うには、単に電源から30秒間プラグを抜いてから再び差し込みます。ルーターの多くのモデルは、電源を入れ直したときにインストール済みのアプリをフラッシュします。

次のステップは、ルーターを工場出荷時の状態にリセットすることです。これを行う方法についての情報は、同梱されているマニュアルまたは製造元のWebサイトから入手できます。これには通常、ピンを凹穴に挿入してマイクロスイッチを押すことが含まれます。ルーターをバックアップして実行したら、最新バージョンのファームウェアを使用していることを確認する必要があります。繰り返しますが、更新方法の詳細については、ルーターに付属のマニュアルを参照してください。

次に、ルーターの使用状況に関する簡単なセキュリティ監査を実行します。

デフォルトのユーザー名とパスワードを使用して管理しないでください。同じモデルのすべてのルーターは、そのデフォルトの名前とパスワードを使用するため、設定を変更したり、マルウェアをインストールしたりするのが簡単になります。
強力なファイアウォールを設置せずに、内部デバイスをインターネットに公開しないでください 。これには、FTPサーバー、NASサーバー、プレックスサーバー、またはスマートデバイスなどが含まれます。接続されたデバイスを内部ネットワークの外部に公開する必要がある場合は、ポートフィルタリングおよび転送ソフトウェアを使用できます。そうでない場合は、強力なハードウェアまたはソフトウェアファイアウォールに投資してください。
リモート管理を有効のままにしないでください 。ネットワークから頻繁に離れている場合には便利かもしれませんが、すべてのハッカーが探すことを知っている潜在的な攻撃ポイントです。
常に最新の状態に保ちます。これは、新しいファームウェアを定期的にチェックすることを意味します。さらに重要なことは、使用可能な場合は必ずインストールすることです 。

最後に、VPNFilterのインストールを防ぐためにファームウェアを更新できない場合（製造元のWebサイトに詳細があります）、新しいものを購入するだけです。完全に機能する正常なルーターを交換するためにお金を使うのは少し極端ですが、これらのヒントを読む必要のない人でない限り、ルーターが感染しているかどうかはわかりません。

VPNFilterなどはいつでも誰でも発生する可能性があるため、Google Wifiなどの新しいファームウェアが利用可能になると自動的に更新される新しいメッシュルーターシステムが大好きです。新しいルーターの市場にいる場合は、一見の価値があります。