Операция Doorway нацелена на устройства интернета вещей и сетевое оборудование

Doorway, скоординированная операция по компрометации устройств интернета вещей и сетевого оборудования, использует модульный движок сканирования и эксплуатации на Rust. В двух идентичных открытых рабочих пространствах обнаружили около 41 ГБ исходного кода, полезных нагрузок, учётных данных, записей о жертвах и операционных журналов. Движок включает 59 модулей эксплуатации. В восстановленных записях есть не менее 4 217 уникальных IP-адресов, 7 369 успешных аутентификаций в MikroTik/RouterOS на 4 923 идентификаторах устройств, 20 хостов Jenkins с подтверждённым удалённым выполнением кода, 16 загрузок плагинов в Openfire и 18 компрометаций маршрутизаторов DARKLANTERN. Внутренний реестр фиксирует 11 363 подключения и 58 920 событий загрузки второй стадии за один час. Это заявленные операционные показатели, а не полностью независимо подтверждённые случаи заражения.

Цели и методы эксплуатации Doorway

Операция нацелена на маршрутизаторы, камеры, ONU, CPE, управляемые провайдерами, и открытые сервисы Java. Зонды баннеров и отпечатки ответов помогают сузить круг целей перед проверкой в режиме только чтения, предназначенной для идентификации, и последующей эксплуатацией. Применяемые техники включают:

• аутентификацию с учётными данными по умолчанию или повторно используемыми учётными данными;
• внедрение команд до аутентификации;
• обход через пути (path traversal);
• манипуляцию конфигурацией;
• эксплуатацию известных уязвимостей, в том числе Openfire CVE-2023-32315 и RouterOS CVE-2023-30799.

Движок автоматизирует разведку, проверку учётных данных, эксплуатацию, доставку полезных нагрузок и вербовку устройств. Для доставки применяются загрузчики, учитывающие архитектуру, а также несколько методов:

• HTTP-утилиты;
• TFTP;
• FTP;
• NFS;
• команды shell или PowerShell.

Плагин Openfire загружает и запускает клиентские приложения для конкретных платформ и пытается отправлять ICMP-маяки, сигнализирующие о выполнении. Полезная нагрузка для RouterOS на архитектуре MIPS32 открывает интерактивный shell на TCP/4444. Успешное развёртывание этой цепочки эксплуатации RouterOS в широких масштабах не подтверждено.

Инфраструктура и признаки активности

Восстановленная инфраструктура включает адреса сканирования, серверы полезной нагрузки, экспорт NFS и приёмник сигналов. Привязанные к IP-адресам подписи ограничивают получение некоторых полезных нагрузок целевыми объектами. Сигнальный обмен помогает отличить выполнение кода от успешной загрузки. Оперативные записи описывают автоматизированный мониторинг и перепланирование на основе результатов эксплуатации.

Расследователи также обнаружили конфигурации SOCKS для MikroTik и записи подписчиков PPPoE. Эти данные указывают на развитие прокси-флота и доступ к оперативным данным провайдера. Конечное использование и монетизация остаются неизвестными.

Для поиска активности специалисты по защите могут проверять:

• строку «Hello World» в HTTP User-Agent кампании;
• трафик к выявленной инфраструктуре доставки и приёма сигналов;
• ICMP-маяки;
• соединения TCP/4444;
• неожиданные службы SOCKS;
• несанкционированные плагины Java-сервисов.

Протокол управления и задания для конечных клиентов остаются неподтверждёнными.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.