Dr. Web: Троян Rbrute взламывает маршрутизаторы с целью распространения Sality

Эксперты компании Dr. Web  провели  исследование трояна Rbrute, используемого для взлома Wi-Fi маршрутизаторов и распространения вредоносного ПО одного из старейших семейств Sality. Ему удалось продержаться столько времени благодаря способу распространения и коммуникационным возможностям.

Вирус способен отключать антивирусное ПО и межсетевые экраны, похищать информацию с зараженного компьютера и использовать его для рассылки спама, скачивать дополнительные вредоносные программы и т. д. Кроме того, он может использоваться в качестве руткита и распространяется через съемные накопители и сетевые ресурсы. Вредонос также работает в сочетании с вышеупомянутым трояном.

«После загрузки на Windows троян Rbrute устанавливает соединение с удаленным сервером и ждет дальнейших инструкций. Одна из них обеспечивает троян определенным количеством IP-адресов для сканирования», - поясняют эксперты. Помимо этого, ПО используется для осуществления атак по словарю. В случае их успешного проведения, троян отсылает соответствующий отчет на сервер, который затем дает команду маршрутизатору изменить настройки DNS-адресов.

Таким образом при попытке зайти на какой-либо сайт, пользователь перенаправляется на созданный злоумышленниками ресурс. По словам исследователей, данная схема применяется киберпреступниками для расширения ботнета, созданного при помощи вируса Win32.Sector, который также относится к семейству Sality.

Rbrute способен взламывать пароли к маршрутизаторам D-Link DSL-2520U, DSL-2600U, TP-Link TD-W8901G, TD-W8901G 3.0, TD-W8901GB, TD-W8951ND, TD-W8961ND, TD-8840T, TD-8840T 2.0, TD-W8961ND, TD-8816, TD-8817 2.0, TD-8817, TD-W8151N, TD-W8101G, ZTE ZXV10 W300, ZXDSL 831CII.