Cisco Talos ja Symantec julkaisivat artikkelin koti- ja pientoimistojen reitittimissä sekä verkkotallennuslaitteissa havaitusta kehittyneestä haittaohjelmasta. Talos arvioi, että haittaohjelma on saastuttanut noin 500 000 päätelaitetta 54 maassa.

VPNFilter haittaohjelma on monikäyttöinen. Se voi kuunnella reitittimen läpi menevää liikennettä mukaan lukien salasanat ja sitä voidaan käyttää ponnahduslautana sisäverkkoon suuntautuvissa hyökkäyksissä. Haittaohjelmassa on myös moduuli, jonka avulla voi myös kuunnella laitteen läpi menevää teollisuusautiomaatiossa käytettyä Modbus-liikennettä. Haittaohjelmassa on lisäksi ominaisuuksia joiden avulla hyökkääjä voi tehdä laitteesta toimimattoman ja sen palauttaminen toimintakuntoiseksi voi olla mahdotonta. Haittaohjelmasta on löydetty yhtäläisyyksiä vuonna 2015 Ukrainan sähköverkkoihin tunkeutumisessa käytetyn BlackEnergy -haittaohjelman kanssa.

Haittaohjelman tartunta

Haittaohjelma pystyy Symantecin mukaan saastuttamaan seuraavia laitteita:

• Asus RT-AC66U, RT-N10, RT-N10E, RT-N10U, RT-N56U, RT-N66U
• D-Link DES-1210-08P, DIR-300, DIR-300A, DSR-250N, DSR-500N, DSR-1000, DSR-1000N
• Huawei HG8245,
• Linksys E1200, E2500, E3000, E3200, E4200, RV082, WRVS4400N
• Mikrotik RouterOS Cloud Core Routers: Versiot 1009, 1016, 1036, ja 1072
• Mikrotik CRS109, CRS112, CRS125, RB411, RB450, RB750, RB911, RB921, RB941, RB951, RB952, RB960, RB962, RB1100, RB1200, RB2011, RB3011, RB Groove, RB Omnitik ja STX5
• Netgear DG834, DGN1000, DGN2200, DGN3500, FVS318N, MBRN3000, R6400, R7000, R8000, WNR1000, WNR2000, WNR2200, WNR4000, WNDR3700, WNDR4000, WNDR4300, WNDR4300-TN, UTM50
• QNAP TS251, TS439 Pro
• Muut QNAP:n NAS-laitteet, joissa käytetään QTS-ohjelmistoa
• TP-Link R600VPN, TL-WR741ND, TL-WR841N
• Ubiquiti NSM2, PBE M5
• Upvelin valmistamista verkkolaitteista on myös haittaohjelmatartuntahavaintoja, mutta laitteiden malleista ei ole tarkempaa luetteloa.
• ZTE ZXHN H108N

Suositeltavia toimenpiteitä:

Alkuperäinen tartuntavektori ei toistaiseksi ole tiedossa, joten jos laite on liitetty suoraan internetiin, suojaustoimenpiteet eivät välttämättä ole riittäviä.

Päivitys 7.6.2018: Uusia haavoittuvia laitteita selvitetty

Cisco Talos on päivittänyt haavoittuvien laitteiden listaa. Uusia haavoittuvuuskohteita on todettu myös ASUSin, D-Linkin, Huawein, Ubiquitin, UPVELin ja ZTE:n valmistamista verkkolaitteista. Löydettyjä laitteita on lisätty ylläolevaan listaan.

Haittaohjelman modulaarisen rakenteen ansiosta hyökkääjä voi muokata sen toimintamalleja. Uuden löydetyn kolmannen vaiheen moduulin tehtävänä on muokata verkkolaitteen läpi kulkevaa verkkoliikennettä ja lisätä siihen väliin haitallista sisältöä välimieshyökkäyksellä (Man in the Middle Attack).

Tähän mennessä Suomessa havaittujen VPNFilterin saastuttamien laitteiden määrä on pysynyt maltillisena. Kyberturvallisuuskeskuksen tiedossa on alle kymmenen saastunutta laitetta. Haittaohjelma on suunnattu ja se leviää pääsääntöisesti Ukrainassa ja sen lähialueilla.

Haittaohjelman tartutantapojen uskotaan nojaavan tunnettuihin haavoittuvuuksiin ja oletussalasanojen käyttöön, jotka asianmukaisesti päivitetyissä ja konfiguroidussa laitteissa pitäisi olla korjattuina. Jos laitevalmistaja ei tarjoa verkkolaitteelle enää tukea tai turvallisuuspäivityksiä, eikä siitä paljastuville haavoittuvuuksille ole enää luvassa korjausta, on syytä luopua laitteen käytöstä ja korvata se uudella laitteella, jonka valmistaja on paremmin varautunut toimittamaan laitteelle turvallisuuspäivityksiä.

Lisätietoja ja haittaohjelman tunnistetietoja:

• https://blog.talosintelligence.com/2018/05/VPNFilter.html
• https://www.symantec.com/blogs/threat-intelligence/vpnfilter-iot-malware
• https://www.thedailybeast.com/exclusive-fbi-seizes-control-of-russian-botnet
• https://thehackernews.com/2018/06/vpnfilter-router-malware.html

Käyttäjät ja organisaatiot alkavat olla hyvin tietoisia makrojen vaaroista joten hyökkääjät etsivät muita tapoja suorittaa haitallista koodia uhrien tietokoneissa. Julkisuudessa on raportoitu Microsoftin DDE (Dynamic Data Exchange) -mekanismin käytöstä useammassa eri hyökkäyskampanjassa, esim. eri haittaohjelmakampanjoissa. Microsoft on päivittänyt ohjeitaan DDE sisältöä sisältävien viestin turvallista aukaisemista varten.

Mikä DDE mekanismi on ja miten sitä väärinkäytetään?

Windows tarjoaa useita eri mekanismeja sovellusten tiedonvaihdolle järjestelmissään. Yksi näistä mekanismeista on DDE (Dynamic Data Exchange).
DDE-mekanismia käytetään viestien ja tiedon välittämiseen sovellusten välillä. Microsoftin mukaan kyse on toiminnallisuudesta eikä haavoittuvuudesta, joten toimintoja poistavia päivityksiä ei ole tiedossa. DDE-toimintoa hyväksikäyttämällä on mahdollista suorittaa makroja tai komentoja Microsoftin sovelluksissa. Käyttäjän on kuitenkin hyväksyttävä sovelluksen antamat varoitukset jotta mahdollinen hyökkäysyritys onnistuu.

Miten DDE väärinkäytön riskiä voi pienentää?

• DDE hyväksikäyttöyritys tulee sähköpostitse ja on helposti torjuttavissa. Ole tarkkana mikäli et ole varma sähköpostin lähettäjästä ja tarkoitusperästä. Mikäli vastaanotat sähköpostin joka pyytää lupaa päivittää dokumentin tietoja tai komentoja, älä hyväksy niitä.
• Estä DDE ominaisuuden käyttö käyttöjärjestelmästä (Linkki ohjeisiin artikkelin lopussa).

Muita rajoituskeinoja:

• Microsoft Outlook: säädä html-muotoisten viestien näyttäminen vain teksti-muodossa.
• Microsoft Word: hyväksikäyttöä voidaan rajoittaa poistamalla ominaisuus "Päivitä automaattiset linkit avattaessa" toiminnasta. Tämä asetus löytyy Wordista Tiedosto ->Asetukset -> Lisäasetukset -> Yleiset ja poista ruksi kohdasta "Päivitä automaattiset linkit avattaessa". Haitallisia komentoja voidaan yrittää suorittaa myös Microsoft Outlookin sähköposteissa ja kalenterissa. Haavoittuvuuden hyväksikäyttäminen edellyttää, että vastaanottajalle on sallittu viestien sisällön näyttäminen html-muodossa.

Käyttäjiä ja organisaatioita kehotetaan harkitsemaan sähköpostiviestien sallimista vain teksti-muodossa.

Lisätietoja asiasta:

• Microsoftin virallinen ohje avata DDE sisältöä sisältävä viesti turvallisesti
• Sophoksen julkaisu, Office DDE attack works in Outlook too – here’s what to do
• Panda Securityn raportti:
• SANS ISC artikkeli Necurs Botnet malspam pushes Locky using DDE attack
• Tivin uutinen Wordin hyväksikäytöstä

Etähallittavaa JSocket RAT -haittaohjelmaa on levitetty ainakin 15 000 suomalaiseen sähköpostiosoitteeseen. Haittaohjelman sisältävä viesti voi tulla tutulta ihmiseltä, sillä levitykseen käytetään ilmeisesti murrettuja käyttäjätunnuksia ja niiden yhteystietolistoja.

Kyberturvallisuuskeskuksen näkemät viestiesimerkit ovat lyhyitä ja kömpelöllä suomella kirjoitettuja. Viestin lyhyyden vuoksi se voi näyttää uskottavalta ihmiselle, joka lukee sen kiireessä. Alla on kuva eräästä levitykseen käytetystä viestistä:

Myös seuraavia viestien otsikoita on nähty:

• Laskuttaa_00995647 ( Maksu)
• VS: Laskuttaa_00995647 ( Maksu)
• SV: Laskuttaa_00995647
• VS: Laskuttaa_00995647
• Dokumentti
• Laskuttaa_094895
• Faktura_0099787 {Betaling)
• Fakturra_0099787 (pagameto)
• Fattura_0099787 (pagamento)

Suositellut toimenpiteet

1. Jos olet saanut kuvatunlaisen viestin, muttet ole avannut sitä, poista viesti pysyvästi. Esimerkiksi Microsoft Outlookissa valitse viesti postilaatikosta yhdellä klikkauksella, paina näppäimistöstä vaihto (shift) -näppäin pohjaan ja paina Delete-näppäintä.
2. Jos olet avannut kuvatunlaisen viestin, varmista, ettei koneesi ole saanut tartuntaa:
   • Ota tietokone heti irti tietoverkosta haittaohjelman mahdollisen leviämisen estämiseksi.
   • Jos saastunut kone on työnantajasi antama, toimi työnantajan ohjeiden mukaan (esimerkiksi yhteydenotto ATK-tukeen).
   • Jos kyse on yksityisestä koneesta, tarkasta se päivitetyllä haittaohjelmien torjuntaohjelmalla.

JSocket RAT kytkee monia virustorjuntaohjelmistoja pois käytöstä, joten voi olla tarpeen asentaa toisella koneella USB-muistitikulle ohjelma, jolta saastuneen tietokoneen voi käynnistää haittaohjelmien tarkastusta varten (ns. anti-virus boot disk tai rescue disk).

Tartuntojen ehkäisy

Noudata varovaisuutta epäilyttäviltä näyttävien sähköpostiviestien käsittelyssä. Epäilyttävien viestien liitetiedostoja ei kannata avata. Paras tapa varmistua viestin aitoudesta on ottaa sen lähettäjään yhteyttä jollakin muulla viestivälineellä kuin sähköpostilla.

Varmista, että virustorjuntaohjelmisto toimii. Torjuntaohjelman tunnistetietokannan automaattipäivityksen tulee olla päällä ja torjuntaohjelman tulee automaattisesti tarkastaa avattavat ja suoritettavat tiedostot. Useilla työpaikoilla ATK-tuki varmistaa nämä asiat keskitetysti.

Työpaikan sähköpostijärjestelmän ylläpitäjien kannattaa ohjata kaikki sähköpostipalvelimen läpi kulkevat viestit virustorjuntaohjelmiston läpi. Varotoimena sellaiset viestit, jotka sisältävät Zip-pakatun liitetiedoston, jonka sisältönä on jar-tiedosto, kannattaa laittaa karanteeniin ja tarkastaa tuoreita haittaohjelmatunnisteita vastaan vielä seuraavana päivänä. Jos yrityksen työntekijöillä ei ole tarvetta vastaanottaa jar-tiedostoja, kannattaa niiden vastaanotto sähköpostilla estää kokonaan.

Lisää aiheesta

Laitteen etähallinnan mahdollistava haittaohjelma JSocket RAT leviää sähköpostin välityksellä (Tietoturva nyt! 19.1.2016)