Возвращение Zerobot: новая волна атак на уязвимости маршрутизаторов Tenda и платформы n8n

Недавно обнаруженная кампания вредоносного ПО Zerobot, основанного на ботнете Mirai, вновь активизировалась, используя критические уязвимости в маршрутизаторах Tenda AC1206 и платформе для автоматизации рабочих процессов n8n. Девятая версия этого зловреда, известная как zerobotv9, эксплуатирует недавно выявленные уязвимости командной инъекции, что позволяет злоумышленникам распространять вредоносное ПО по уязвимым сетям.

Zerobot является частью семейства ботнетов, которые традиционно нацелены на устройства Интернета вещей (IoT), используя их слабую защиту для создания масштабных сетей заражённых устройств. В данном случае акцент сделан на маршрутизаторы Tenda AC1206 — популярные устройства в корпоративных и домашних сетях — и платформу n8n, применяемую для автоматизации процессов и интеграции различных сервисов.

Характеристика уязвимостей и механизм атаки

Основной вектор атаки — уязвимости командной инъекции, которые позволяют злоумышленникам выполнять произвольные команды на уязвимых устройствах. В случае маршрутизаторов Tenda AC1206 эти уязвимости дают возможность удалённо запускать вредоносный код без необходимости аутентификации. Аналогично, в платформе n8n обнаружены подобные недостатки, которые могут быть использованы для внедрения вредоносных скриптов и расширения контроля над инфраструктурой.

Эксплуатация этих уязвимостей позволяет Zerobot автоматически сканировать сеть в поисках уязвимых устройств, заражать их и включать в ботнет. Такой подход обеспечивает масштабируемость атаки и позволяет злоумышленникам использовать заражённые устройства для дальнейших вредоносных действий, таких как DDoS-атаки, кража данных или распространение другого вредоносного ПО.

Значение для организаций, управляющих внешней поверхностью атаки

Для компаний, которые контролируют большое количество сетевых устройств и автоматизированных систем, данная кампания представляет серьёзную угрозу. Уязвимости в маршрутизаторах и платформах автоматизации могут привести к компрометации критически важных компонентов инфраструктуры, что в свою очередь увеличивает риск масштабных инцидентов безопасности.

Особенно важно учитывать, что устройства IoT и решения для автоматизации часто остаются вне поля зрения традиционных средств защиты, что делает их привлекательной целью для злоумышленников. Кроме того, атаки на такие устройства могут служить отправной точкой для проникновения в более защищённые сегменты сети.

Практические рекомендации для команд безопасности

• Провести инвентаризацию устройств и сервисов: определить наличие маршрутизаторов Tenda AC1206 и платформы n8n в инфраструктуре, особенно тех, которые имеют внешние интерфейсы.
• Обновить программное обеспечение: установить последние патчи и обновления безопасности от производителей для устранения известных уязвимостей.
• Ограничить доступ к управлению устройствами: использовать VPN, сегментировать сеть и применять многофакторную аутентификацию для административных интерфейсов.
• Внедрить системы мониторинга и обнаружения аномалий: отслеживать подозрительную активность, связанную с попытками командной инъекции или необычным сетевым трафиком.
• Регулярно проводить тестирование на проникновение и аудит безопасности: выявлять и устранять слабые места в конфигурации и защите устройств.
• Обучать сотрудников: повысить осведомлённость команд о рисках, связанных с IoT-устройствами и платформами автоматизации.

Активность Zerobotv9 подчёркивает необходимость комплексного подхода к управлению внешней поверхностью атаки, особенно в условиях быстрого роста числа IoT-устройств и автоматизированных сервисов. Только систематическое выявление и устранение уязвимостей позволит снизить риски и обеспечить устойчивость корпоративной инфраструктуры.