Viasat-modems voor satellietinternet werden getroffen door wipermalware

Viasat heeft bevestigd dat modems voor zijn KA-SAT-dienst voor satellietinternet in februari zijn getroffen door AcidRain. Dat is een pas ontdekte wipermalware die is ontworpen om bestanden te verwijderen.

De aanval met AcidRain is uiteengezet door onderzoekers van SentinelLabs en de bevindingen zijn later bevestigd door Viasat. Dat deed het bedrijf tegenover Bleeping Computer. AcidRain werd op 15 maart ontdekt, nadat een sample van de malware vanaf een Italiaans IP-adres geüpload werd naar VirusTotal. De AcidRain-malwaresample op VirusTotal had de naam 'ukrop'. De hypothese van SentinalLabs is dat dit voor 'Ukraine Operation' staat, maar toch zeggen de onderzoekers dat dit niet is bevestigd.

Viasat schreef eerder deze week dat zijn netwerk getroffen is via een verkeerd geconfigureerd vpn-toestel, waarna hackers toestemming kregen tot het trustmanagementsegment van het KA-SAT-netwerk van Viasat. Die toegang werd gebruikt om een 'destructieve executable' uit te voeren op de modems, met een 'legitiem beheercommando', zo stelt Viasat.

Die destructieve executable is dus AcidRain, zo schrijft SentinelLabs, die ook de werking van de wipermalware uiteenzet. De malware voert een wipe van het bestandssysteem en mogelijke aangesloten opslagapparaten uit op de modems van gebruikers. Vervolgens probeert AcidRain de bestanden op verschillende opslagapparaten te vernietigen. De malware probeert daarvoor verschillende opslagmedia te benaderen. Hierna wordt de modem opnieuw opgestart, waarna die onbruikbaar is.

De identiteit van de daders is nog niet bekend, schrijven de onderzoekers van SentinelLabs. De aanval op het Viasat-netwerk viel samen met het begin van de Russische invasie in Oekraïne, op 24 februari. De aanval werd gericht op de grondinfrastructuur van het KA-SAT-netwerk van Viasat, dat satellietinternet verleent aan Europese klanten. Sinds het begin van de oorlog zijn er meerdere aanvallen met wipermalware uitgevoerd op Oekraïne. AcidRain is daar het zevende voorbeeld van, schrijft SentinelLabs. Analisten van Amerikaanse inlichtingendiensten zouden eerder geconcludeerd hebben dat Rusland achter de aanval op Viasat zat, vertelden bronnen aan The Washington Post.

Opslagmedia die het doelwit zijn van AcidRain (via SentinelLabs)
Apparaat	Beschrijving
/dev/sd*	Een generiek blockdevice
/dev/mtdblock*	Flashgeheugen (veelvoorkomend in routers en iot-apparaten)
/dev/block/mtdblock*	Een andere mogelijke manier om flashgeheugen te benaderen
/dev/mtd*	Het apparaatbestand voor flashgeheugen dat fileops ondersteunt
/dev/mmcblk*	Voor SD- of MMC-kaarten
/dev/block/mmcblk*	Een andere manier om AD- of MMC-kaarten te benaderen
/dev/loop*	Virtuele blockdevices

Reacties (12)

[Snow_King]

De malwares zelf zijn eigenlijk allemaal zo super simpel, onder Linux kan het volgende je systeem al helemaal onbruikbaar maken:

dd if=/dev/zero of=/dev/sda bs=1M count=100
reboot

Voila, Linux systeem gaat niet meer opstarten. Malware gelukt!

De truc is de commando's kunnen uitvoeren op al die systemen. Dat kost meer tijd en is gewoon lastig(er), maar als het eenmaal lukt ben je heerser van die systemen en is deze aanval in een paar minuten gedaan.

[Blokker_1999]

kan korter hoor:

rm -rf /*

Merk het * op, daarmee gaat rm alsnog aan de slag, het is enkel als je / hebt dat deze gaat weigeren tenzij je --no-preserve-root meegeeft als argument.

[Verwijderd]

Met als mogelijk belangrijk verschil dat dd daadwerkelijk alle bits overschrijft en data recovery onmogelijk maakt. SDA geheel overschrijven met nullen verwijdert de complete partitie tabel waarmee je in principe het opslagmedium uit het apparaat verwijdert. Het duurt langer dan simpelweg alle bestanden verwijderen maar het maakt reparatie een stuk lastiger.

[rob12424]

Dat klopt enerzijds. Linux is heel erg veilig. Maar wel modulair veilig. Er zijn zelfs IDS systemen die de paden veranderen dus bijvoorbeeld /dev/ wordt dan ineens /cfg/ mocht een systeem dan van buitenaf benaderd worden dan zien mensen en ook virussen door de bomen het bos niet meer.
Natuurlijk draai je niet duizenden programma's met afhankelijkheden daarop want alles moet ook overnieuw gekoppeld worden.

Maar normaal gesproken zou een Linux device bepaalde rechten hebben of zoiets als apt-armor of SE-Linux. Maar bij embedded devices wil er nog wel eens ruimte/batterij gebrek zijn en wat er dan juist als eerste vaak overboord gaat bij het ontwerp is de beveiliging

[The Zep Man]

De malwares zelf zijn eigenlijk allemaal zo super simpel, onder Linux kan het volgende je systeem al helemaal onbruikbaar maken:
dd if=/dev/zero of=/dev/sda bs=1M count=100

dd: failed to open '/dev/sda': Permission denied

Zoals het hoort.

[Reactie gewijzigd door The Zep Man op 25 juli 2024 20:42]

[Snow_King]

Ok, je hebt root toegang nodig, maar daarna is het hele simpele malware :-)

[Muncher]

UKROP kan ook staan voor:

- Ukrainian Association of Patriots (partij die nu niet meer bestaat, maar op is gegaan in de Servant of the People party (de party van de huidige president Zelensky)
- Slang van Russen om Oekraïners mee aan te duiden

Bron: https://en.wikipedia.org/wiki/UKROP

Edit: voordat iedereen nu gaat roepen "Ja maar UKROP kan ook staan voor X, Y, Z": deze informatie komt uit het bron artikel waar Tweakers naar refereert. Ik vond het handig om het hier te melden omdat het de context waarbinnen deze malware is gebruikt kan duiden.

[Reactie gewijzigd door Muncher op 25 juli 2024 20:42]

[Zer0]

Bobby Ukrop is Chairman and C.E.O. of Ukrop’s Homestyle Foods, a producer of premium-quality, chilled prepared foods and baked goods for food retailers in Virginia and adjacent states. He serves as Co-Chair of Ukrop’s Threads which provides uniforms and corporate apparel to large food retailers, theme parks, and convenience stores across the nation.

Ukrop kan voor van alles staan..

[Reactie gewijzigd door Zer0 op 25 juli 2024 20:42]

[vinkjb]

Kan dan ook Engels zijn als UK met Oekraine associeert

[kvandijck]

Waarom zou het rootfs schrijfbaar moeten zijn op linux. Dat rol ik nooit zo uit voor embedded devices.

[tweaknico]

En hoe goed zijn de IFTTT servers beveiligd?.... en de Hue servers, en de.Nest servers, de Ring servers.... alle buiten de deur servers die huizen bedienen?.. (Wie is de eigenaar van de servers? wie is eigenaar ven de DC's waar de servers staan?).

Allemaal zaken die nu een stuk belangrijker worden dan BLIND vertrouwen dat iets wel goed geregeld zal zijn want... commerciele partij..