#berserkbear — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #berserkbear, aggregated by home.social.
-
Twój domowy router na celowniku rosyjskich hakerów. Służby ostrzegają przed kampanią FSB
Agencje cyberbezpieczeństwa z całego świata, w tym amerykańska CISA oraz służby z Wielkiej Brytanii, Australii i Nowej Zelandii, wydały pilne ostrzeżenie dla użytkowników routerów domowych oraz małych biur.
Państwowe grupy hakerskie powiązane z rosyjską Federalną Służbą Bezpieczeństwa (FSB) prowadzą masowe, zautomatyzowane skany w celu przejęcia kontroli nad słabo zabezpieczonym sprzętem sieciowym. Po przejęciu urządzenia nie służą one jednak do atakowania ich właścicieli – stają się cichymi pośrednikami, wykorzystywanymi do maskowania operacji szpiegowskich przeciwko instytucjom rządowym i sektorowi energetycznemu.
Dla nas to jasny sygnał, że bezpieczeństwo sieci nie kończy się na silnym haśle do Wi-Fi. Przejmowanie domowych routerów przez wywiady Rosji czy Chin trwa od lat i przypomina niekończącą się grę w kotka i myszkę – rozbite przez służby botnety są natychmiast zastępowane nowymi. Jeśli nasz sprzęt zostanie zainfekowany, przestępcy zyskują tzw. domowy adres proxy (residential proxy). Z perspektywy systemów obronnych złośliwy ruch wygląda wtedy jak legalne, codzienne korzystanie z internetu przez zwykłego obywatela, co drastycznie utrudnia wykrycie ataku.
Dlaczego hakerzy szukają prywatnych adresów IP?
Większość zaawansowanych systemów bezpieczeństwa w bankach czy korporacjach automatycznie blokuje ruch sieciowy pochodzący z podejrzanych serwerów w chmurze lub znanych zagranicznych ośrodków. Hakerzy znaleźli jednak na to sposób. Jeśli uda im się włamać na router stojący w prywatnym mieszkaniu, przepuszczają swój atak przez to urządzenie, ukrywając się za tożsamością niewinnego użytkownika.
Za obecną falą ataków stoją grupy śledzone przez ekspertów m.in. jako Berserk Bear, Dragonfly czy Ghost Blizzard. Wykorzystują one zautomatyzowane botnety do bezustannego przeczesywania sieci. Szukają urządzeń, które posiadają włączone, przestarzałe protokoły lub fabryczne, niezmienione od nowości dane logowania. Gdy router odpowie na taki skan, staje się tzw. węzłem wyjściowym, z którego bezpośrednio uderza się w serwery administracji publicznej czy sektora finansowego.
Słaba konfiguracja protokołu SNMP otwiera drzwi do sieci
Jednym z głównych wektorów opisanych w najnowszym ostrzeżeniu CISA jest podatność w konfiguracji usługi SNMP (Simple Network Management Protocol). To powszechnie stosowane rozwiązanie, które służy do zdalnego zarządzania urządzeniami sieciowymi i zbierania o nich informacji.
Problem polega na tym, że miliony routerów na całym świecie mają fabrycznie włączone starsze wersje tego protokołu (SNMPv1 oraz SNMPv2). Ich kluczową wadą jest całkowity brak szyfrowania haseł dostępowych oraz przesyłanych instrukcji. Hakerzy posługujący się zautomatyzowanymi skanerami masowo trafiają na urządzenia z domyślnymi poświadczeniami, co pozwala im na modyfikację konfiguracji sprzętu i uruchamianie na nim złośliwego oprogramowania.
Jak sprawdzić i skutecznie zabezpieczyć swój domowy router?
Analiza mechanizmów wykorzystywanych przez grupy powiązane z FSB pokazuje, że większość infekcji wynika z prostych błędów konfiguracyjnych, których naprawienie zajmuje zaledwie kilka minut. Aby zminimalizować ryzyko włączenia naszego routera do globalnego botnetu, warto wdrożyć podstawowe zasady higieny cyfrowej:
- Wyłącz protokół SNMP: zaloguj się do panelu administracyjnego swojego routera i całkowicie wyłącz usługę SNMP, o ile nie używasz jej świadomie do zaawansowanego zarządzania siecią. Jeśli jest ona niezbędna, upewnij się, że korzystasz wyłącznie z bezpiecznej wersji SNMPv3, która wprowadza szyfrowanie.
- Zmień fabryczne dane logowania: domyślne hasła dostępu do panelu zarządzania typu „admin”, „1234” czy nazwa producenta to pierwsze, co sprawdzają automaty hakerów. Hasło administratora powinno być unikalne i silne.
- Zablokuj zdalne zarządzanie: upewnij się, że panel konfiguracyjny routera jest dostępny wyłącznie z poziomu sieci lokalnej (LAN), a funkcja zarządzania od strony internetu (WAN / Remote Management) jest wyłączona.
- Wyłącz zbędne usługi: raporty bezpieczeństwa zalecają również wyłączenie innych nieużywanych protokołów zarządzania, takich jak Cisco Smart Install, oraz regularne aktualizowanie oprogramowania układowego (firmware) routera.
-
Twój domowy router na celowniku rosyjskich hakerów. Służby ostrzegają przed kampanią FSB
Agencje cyberbezpieczeństwa z całego świata, w tym amerykańska CISA oraz służby z Wielkiej Brytanii, Australii i Nowej Zelandii, wydały pilne ostrzeżenie dla użytkowników routerów domowych oraz małych biur.
Państwowe grupy hakerskie powiązane z rosyjską Federalną Służbą Bezpieczeństwa (FSB) prowadzą masowe, zautomatyzowane skany w celu przejęcia kontroli nad słabo zabezpieczonym sprzętem sieciowym. Po przejęciu urządzenia nie służą one jednak do atakowania ich właścicieli – stają się cichymi pośrednikami, wykorzystywanymi do maskowania operacji szpiegowskich przeciwko instytucjom rządowym i sektorowi energetycznemu.
Dla nas to jasny sygnał, że bezpieczeństwo sieci nie kończy się na silnym haśle do Wi-Fi. Przejmowanie domowych routerów przez wywiady Rosji czy Chin trwa od lat i przypomina niekończącą się grę w kotka i myszkę – rozbite przez służby botnety są natychmiast zastępowane nowymi. Jeśli nasz sprzęt zostanie zainfekowany, przestępcy zyskują tzw. domowy adres proxy (residential proxy). Z perspektywy systemów obronnych złośliwy ruch wygląda wtedy jak legalne, codzienne korzystanie z internetu przez zwykłego obywatela, co drastycznie utrudnia wykrycie ataku.
Dlaczego hakerzy szukają prywatnych adresów IP?
Większość zaawansowanych systemów bezpieczeństwa w bankach czy korporacjach automatycznie blokuje ruch sieciowy pochodzący z podejrzanych serwerów w chmurze lub znanych zagranicznych ośrodków. Hakerzy znaleźli jednak na to sposób. Jeśli uda im się włamać na router stojący w prywatnym mieszkaniu, przepuszczają swój atak przez to urządzenie, ukrywając się za tożsamością niewinnego użytkownika.
Za obecną falą ataków stoją grupy śledzone przez ekspertów m.in. jako Berserk Bear, Dragonfly czy Ghost Blizzard. Wykorzystują one zautomatyzowane botnety do bezustannego przeczesywania sieci. Szukają urządzeń, które posiadają włączone, przestarzałe protokoły lub fabryczne, niezmienione od nowości dane logowania. Gdy router odpowie na taki skan, staje się tzw. węzłem wyjściowym, z którego bezpośrednio uderza się w serwery administracji publicznej czy sektora finansowego.
Słaba konfiguracja protokołu SNMP otwiera drzwi do sieci
Jednym z głównych wektorów opisanych w najnowszym ostrzeżeniu CISA jest podatność w konfiguracji usługi SNMP (Simple Network Management Protocol). To powszechnie stosowane rozwiązanie, które służy do zdalnego zarządzania urządzeniami sieciowymi i zbierania o nich informacji.
Problem polega na tym, że miliony routerów na całym świecie mają fabrycznie włączone starsze wersje tego protokołu (SNMPv1 oraz SNMPv2). Ich kluczową wadą jest całkowity brak szyfrowania haseł dostępowych oraz przesyłanych instrukcji. Hakerzy posługujący się zautomatyzowanymi skanerami masowo trafiają na urządzenia z domyślnymi poświadczeniami, co pozwala im na modyfikację konfiguracji sprzętu i uruchamianie na nim złośliwego oprogramowania.
Jak sprawdzić i skutecznie zabezpieczyć swój domowy router?
Analiza mechanizmów wykorzystywanych przez grupy powiązane z FSB pokazuje, że większość infekcji wynika z prostych błędów konfiguracyjnych, których naprawienie zajmuje zaledwie kilka minut. Aby zminimalizować ryzyko włączenia naszego routera do globalnego botnetu, warto wdrożyć podstawowe zasady higieny cyfrowej:
- Wyłącz protokół SNMP: zaloguj się do panelu administracyjnego swojego routera i całkowicie wyłącz usługę SNMP, o ile nie używasz jej świadomie do zaawansowanego zarządzania siecią. Jeśli jest ona niezbędna, upewnij się, że korzystasz wyłącznie z bezpiecznej wersji SNMPv3, która wprowadza szyfrowanie.
- Zmień fabryczne dane logowania: domyślne hasła dostępu do panelu zarządzania typu „admin”, „1234” czy nazwa producenta to pierwsze, co sprawdzają automaty hakerów. Hasło administratora powinno być unikalne i silne.
- Zablokuj zdalne zarządzanie: upewnij się, że panel konfiguracyjny routera jest dostępny wyłącznie z poziomu sieci lokalnej (LAN), a funkcja zarządzania od strony internetu (WAN / Remote Management) jest wyłączona.
- Wyłącz zbędne usługi: raporty bezpieczeństwa zalecają również wyłączenie innych nieużywanych protokołów zarządzania, takich jak Cisco Smart Install, oraz regularne aktualizowanie oprogramowania układowego (firmware) routera.
-
Twój domowy router na celowniku rosyjskich hakerów. Służby ostrzegają przed kampanią FSB
Agencje cyberbezpieczeństwa z całego świata, w tym amerykańska CISA oraz służby z Wielkiej Brytanii, Australii i Nowej Zelandii, wydały pilne ostrzeżenie dla użytkowników routerów domowych oraz małych biur.
Państwowe grupy hakerskie powiązane z rosyjską Federalną Służbą Bezpieczeństwa (FSB) prowadzą masowe, zautomatyzowane skany w celu przejęcia kontroli nad słabo zabezpieczonym sprzętem sieciowym. Po przejęciu urządzenia nie służą one jednak do atakowania ich właścicieli – stają się cichymi pośrednikami, wykorzystywanymi do maskowania operacji szpiegowskich przeciwko instytucjom rządowym i sektorowi energetycznemu.
Dla nas to jasny sygnał, że bezpieczeństwo sieci nie kończy się na silnym haśle do Wi-Fi. Przejmowanie domowych routerów przez wywiady Rosji czy Chin trwa od lat i przypomina niekończącą się grę w kotka i myszkę – rozbite przez służby botnety są natychmiast zastępowane nowymi. Jeśli nasz sprzęt zostanie zainfekowany, przestępcy zyskują tzw. domowy adres proxy (residential proxy). Z perspektywy systemów obronnych złośliwy ruch wygląda wtedy jak legalne, codzienne korzystanie z internetu przez zwykłego obywatela, co drastycznie utrudnia wykrycie ataku.
Dlaczego hakerzy szukają prywatnych adresów IP?
Większość zaawansowanych systemów bezpieczeństwa w bankach czy korporacjach automatycznie blokuje ruch sieciowy pochodzący z podejrzanych serwerów w chmurze lub znanych zagranicznych ośrodków. Hakerzy znaleźli jednak na to sposób. Jeśli uda im się włamać na router stojący w prywatnym mieszkaniu, przepuszczają swój atak przez to urządzenie, ukrywając się za tożsamością niewinnego użytkownika.
Za obecną falą ataków stoją grupy śledzone przez ekspertów m.in. jako Berserk Bear, Dragonfly czy Ghost Blizzard. Wykorzystują one zautomatyzowane botnety do bezustannego przeczesywania sieci. Szukają urządzeń, które posiadają włączone, przestarzałe protokoły lub fabryczne, niezmienione od nowości dane logowania. Gdy router odpowie na taki skan, staje się tzw. węzłem wyjściowym, z którego bezpośrednio uderza się w serwery administracji publicznej czy sektora finansowego.
Słaba konfiguracja protokołu SNMP otwiera drzwi do sieci
Jednym z głównych wektorów opisanych w najnowszym ostrzeżeniu CISA jest podatność w konfiguracji usługi SNMP (Simple Network Management Protocol). To powszechnie stosowane rozwiązanie, które służy do zdalnego zarządzania urządzeniami sieciowymi i zbierania o nich informacji.
Problem polega na tym, że miliony routerów na całym świecie mają fabrycznie włączone starsze wersje tego protokołu (SNMPv1 oraz SNMPv2). Ich kluczową wadą jest całkowity brak szyfrowania haseł dostępowych oraz przesyłanych instrukcji. Hakerzy posługujący się zautomatyzowanymi skanerami masowo trafiają na urządzenia z domyślnymi poświadczeniami, co pozwala im na modyfikację konfiguracji sprzętu i uruchamianie na nim złośliwego oprogramowania.
Jak sprawdzić i skutecznie zabezpieczyć swój domowy router?
Analiza mechanizmów wykorzystywanych przez grupy powiązane z FSB pokazuje, że większość infekcji wynika z prostych błędów konfiguracyjnych, których naprawienie zajmuje zaledwie kilka minut. Aby zminimalizować ryzyko włączenia naszego routera do globalnego botnetu, warto wdrożyć podstawowe zasady higieny cyfrowej:
- Wyłącz protokół SNMP: zaloguj się do panelu administracyjnego swojego routera i całkowicie wyłącz usługę SNMP, o ile nie używasz jej świadomie do zaawansowanego zarządzania siecią. Jeśli jest ona niezbędna, upewnij się, że korzystasz wyłącznie z bezpiecznej wersji SNMPv3, która wprowadza szyfrowanie.
- Zmień fabryczne dane logowania: domyślne hasła dostępu do panelu zarządzania typu „admin”, „1234” czy nazwa producenta to pierwsze, co sprawdzają automaty hakerów. Hasło administratora powinno być unikalne i silne.
- Zablokuj zdalne zarządzanie: upewnij się, że panel konfiguracyjny routera jest dostępny wyłącznie z poziomu sieci lokalnej (LAN), a funkcja zarządzania od strony internetu (WAN / Remote Management) jest wyłączona.
- Wyłącz zbędne usługi: raporty bezpieczeństwa zalecają również wyłączenie innych nieużywanych protokołów zarządzania, takich jak Cisco Smart Install, oraz regularne aktualizowanie oprogramowania układowego (firmware) routera.
-
Russian State Hackers Exploit 7-Year-Old Cisco Router Vulnerability https://hackread.com/russian-state-hackers-exploit-cisco-router-vulnerability/ #Cybersecurity #EnergeticBear #Vulnerability #CyberAttacks #StaticTundra #BerserkBear #CyberAttack #Dragonfly #Security #Russia #Cisco #News #EOL #FBI
-
Russian State Hackers Exploit 7-Year-Old Cisco Router Vulnerability https://hackread.com/russian-state-hackers-exploit-cisco-router-vulnerability/ #Cybersecurity #EnergeticBear #Vulnerability #CyberAttacks #StaticTundra #BerserkBear #CyberAttack #Dragonfly #Security #Russia #Cisco #News #EOL #FBI
-
Russian State Hackers Exploit 7-Year-Old Cisco Router Vulnerability https://hackread.com/russian-state-hackers-exploit-cisco-router-vulnerability/ #Cybersecurity #EnergeticBear #Vulnerability #CyberAttacks #StaticTundra #BerserkBear #CyberAttack #Dragonfly #Security #Russia #Cisco #News #EOL #FBI
-
The #OT #ICS threat environment is interesting as, aside from ransomware shit, the threats are latent, dormant, or in development. The evolution of #berserkbear, identification of #INCONTROLLER / #PIPEDREAM, continued #XENOTIME activity, identification of #PRC test labs for cyber physical capabilities... All indicate an environment under rapid development, but with fewer actual public examples than fingers on your hand. Circumstances make risk assessment (and cost forecasting) exceptionally difficult for asset owners... But the adversaries are out there, and as shown in #Industroyer2, they are learning. Claiming adversaries will never figure out a cyber physical attack and that the future threat landscape is over hyped seems unhelpful, or motivated by feelings less than altruistic.
-
The #OT #ICS threat environment is interesting as, aside from ransomware shit, the threats are latent, dormant, or in development. The evolution of #berserkbear, identification of #INCONTROLLER / #PIPEDREAM, continued #XENOTIME activity, identification of #PRC test labs for cyber physical capabilities... All indicate an environment under rapid development, but with fewer actual public examples than fingers on your hand. Circumstances make risk assessment (and cost forecasting) exceptionally difficult for asset owners... But the adversaries are out there, and as shown in #Industroyer2, they are learning. Claiming adversaries will never figure out a cyber physical attack and that the future threat landscape is over hyped seems unhelpful, or motivated by feelings less than altruistic.
-
The #OT #ICS threat environment is interesting as, aside from ransomware shit, the threats are latent, dormant, or in development. The evolution of #berserkbear, identification of #INCONTROLLER / #PIPEDREAM, continued #XENOTIME activity, identification of #PRC test labs for cyber physical capabilities... All indicate an environment under rapid development, but with fewer actual public examples than fingers on your hand. Circumstances make risk assessment (and cost forecasting) exceptionally difficult for asset owners... But the adversaries are out there, and as shown in #Industroyer2, they are learning. Claiming adversaries will never figure out a cyber physical attack and that the future threat landscape is over hyped seems unhelpful, or motivated by feelings less than altruistic.
-
The #OT #ICS threat environment is interesting as, aside from ransomware shit, the threats are latent, dormant, or in development. The evolution of #berserkbear, identification of #INCONTROLLER / #PIPEDREAM, continued #XENOTIME activity, identification of #PRC test labs for cyber physical capabilities... All indicate an environment under rapid development, but with fewer actual public examples than fingers on your hand. Circumstances make risk assessment (and cost forecasting) exceptionally difficult for asset owners... But the adversaries are out there, and as shown in #Industroyer2, they are learning. Claiming adversaries will never figure out a cyber physical attack and that the future threat landscape is over hyped seems unhelpful, or motivated by feelings less than altruistic.
-
Another bit of research I'm proud of, that I'm not sure if it ever gained any traction because of pandemic, was my 2021 #VirusBulletin #CTI research into #BerserkBear #Dragonfly #CrouchingYeti. I think taking a "long view" of persistent threat actors is extremely beneficial in seeing now just how they evolve over time, but how past campaigns are reflected in current operations.
You can find the paper here:
https://vblocalhost.com/uploads/VB2021-Slowik.pdf -
Another bit of research I'm proud of, that I'm not sure if it ever gained any traction because of pandemic, was my 2021 #VirusBulletin #CTI research into #BerserkBear #Dragonfly #CrouchingYeti. I think taking a "long view" of persistent threat actors is extremely beneficial in seeing now just how they evolve over time, but how past campaigns are reflected in current operations.
You can find the paper here:
https://vblocalhost.com/uploads/VB2021-Slowik.pdf -
Another bit of research I'm proud of, that I'm not sure if it ever gained any traction because of pandemic, was my 2021 #VirusBulletin #CTI research into #BerserkBear #Dragonfly #CrouchingYeti. I think taking a "long view" of persistent threat actors is extremely beneficial in seeing now just how they evolve over time, but how past campaigns are reflected in current operations.
You can find the paper here:
https://vblocalhost.com/uploads/VB2021-Slowik.pdf -
Another bit of research I'm proud of, that I'm not sure if it ever gained any traction because of pandemic, was my 2021 #VirusBulletin #CTI research into #BerserkBear #Dragonfly #CrouchingYeti. I think taking a "long view" of persistent threat actors is extremely beneficial in seeing now just how they evolve over time, but how past campaigns are reflected in current operations.
You can find the paper here:
https://vblocalhost.com/uploads/VB2021-Slowik.pdf
