Kiedyś przeczytałem o tym w internecie, BotNet atakujący routery… wydawało mi się , że jest to totalna bzdura. Okazuje się, że nie! Dziś trafiły w moje ręce trzy zablokowane routery firmy TP-Link i D-Link. Były to modele WR1043ND WR841ND oraz D-Link DIR-615. Wszystkie routery po uruchomieniu działają normalnie, mają nawet SSID i hasło które wybrał sobie użytkownik na FABRYCZNYM SOFCIE! Niestety po wpisaniu 192.168.1.1 pokazuje się strona informacyjna systemu DD-WRT próba logowania zawsze kończy się niepowodzeniem. Router nie odpowiada na przycisk WPS oraz reset, zawsze startuje z wcześniej wybranym SSID-em. Zainfekowany router tworzy dodatkowy SSID którego nie rozgłasza, jest to pnet_XXXXXX, gdzie XXXXXX to koniec adresu MAC interfejsu wifi. Hasło do sieci jest takie samo jak SSID z tym że jest odwrócone czyli: XXXXXX_pnet. Po zalogowaniu na 192.168.1.1 nie musimy podawać hasła ani login-u, mimo to konfiguracja jest nadal zablokowana. Informacje wyświetlane przez router na stronie „STATUS” są FIKCYJNE, klienci którzy masowo łączą się z naszym AP nie istnieją. Po analizie danych przesyłanych przez router wynika że łączy się on z kilkoma różnymi adresami IP, podejrzewam że są nimi inne zainfekowane routery od których dostaje instrukcje. 99% czasu nic się nie działo, ale po około 8h router zaczął wysyłać pakiety UDP na jeden adres IP (w tym wypadku POLSKI!)

Router da się odblokować! Potrzebna do tego jest konsola szeregowa, po jej podłączeniu musimy nadpisać cały firmware. Ja profilaktycznie nadpisałem cały firmware a potem wymieniłem bootloader-a (w moim wypadku redboot) i z poziomu bootloader-a wymieniłem system na prawdziwy DD-WRT.

Osoby które dostarczyły mi router mówiły że ustawiły trudne hasło na WebGUI i nie miały załadowanego DD-WRT tylko oficjalne oprogramowanie. Wygląda na to że wirus używa metody słownikowej lub jakiegoś exploita aby dostać się do routera, po czym wymienia oprogramowanie na zmodyfikowane DD-WRT i tak zmieniony, udaje normalną prace.

Nie da się ani odczytać komend sterujących ani odszukać IP sterujące ponieważ transmisja sterująca przychodzi z różnych adresów IP (podejrzewam że od innych zainfekowanych) a dodatkowo całość jest szyfrowana.

Każdą osobę która posiada tak zablokowany sprzęt zapraszam na forum, bardzo chętnie pomogę w odblokowaniu. Osobą z rejonu miast: Kraków, Katowice, Wrocław jestem w stanie pomóc osobiście.

Aktualnie udało mi się odblokować modele:

TP-Link WR1043ND

TP-Link WR841ND

D-Link DIR-615 A1

Update: Okazuje się że istnieje już nowsza wersja zainfekowanego router-a która po podłączeniu konsoli szeregowej wyświetla obrazek w ASCII:

Zmienił się też ukryty SSID, na sam adres MAC. Niestety nie pasuje wcześniejsze hasła, bez dostępu do konsoli nie da się go odczytać. Od tego momentu jedyny sposób naprawy to JTAG lub wymiana pamięci flash. Dodatkowo nowe oprogramowanie wprowadza reklamy, które wyskakują w zastępstwie strony którą chcemy załadować, ponowne załadowanie strony (po kilku sek.) powoduje, że zaczyna się ładować właściwa strona.

Lista znanych i możliwych do zainfekowania sprzętów:

TP-Link WR1043ND

TP-Link WR2543ND

TP-Link MR-3220 MR3420 MR3440

TP-Link WR841ND

D-Link DIR-615

D-Link DIR-600

D-Link DIR-815

Linksys E4200 (oraz praktycznie cała seria E)

La Fon 2100 oraz 2200

Tagged with:
 


Portal Bezpieczna Sieć - Forum komputerowe, Informatyka śledcza, bezpieczeństwo, backtrack, kali - Kali Linux Polska Edycja - Polska Edycja Backtrack - Poradnik dla gracza - Praca oparta na wiedzy i edukacji - Seriws Laptopów Katowice - Sklep Komputerowy Katowice - Odzyskiwanie Danych Katowice - Parking BETA przy lotnisku Pyrzowice - miejsce Run w sieci - Prawda od promocjach ,Informatyka, promocje, ceny, ekonomia, ekologia, filozofia - Prawda na tematy informatyki, ekonomii, ekologii - Wróżka, Poezja - eMono-cykl, SegWay, AirWheel, SoloWheel

stat4u