Эмуляция устройств
Роутер, видеокамера, телефонная станция. То, что стоит у абонентов и в сетях операторов.
Отдельный род приманок притворяется не сервером, а устройством: домашним роутером, видеокамерой, сетевым накопителем, SIP-телефонией и прочим оборудованием, которое стоит у абонентов и на стыках операторских сетей.
Понадобился он потому, что устройства ломают иначе, чем серверы. Туда не подбирают сложные пароли и не ищут уязвимости в базах данных. Туда приходят с заводскими учётными данными и с готовой дырой в веб-интерфейсе конкретной модели — и делают это миллионами попыток, потому что таких устройств в сети миллионы и обновляет их почти никто.
Что мы из этого узнаём
Заводские учётные данные. Какие пары перебирают и под какие модели — это прямо показывает, за каким именно оборудованием сейчас охотятся.
Готовые эксплойты веб-интерфейсов. Обращения к служебным адресам конкретных прошивок. Попасть туда случайно невозможно: об этих адресах знают только те, кто пришёл ломать именно эту модель.
Самораспространяющееся ПО. Заражённое устройство ищет следующее само, без человека. Приманка оказывается очередной целью в цепочке и видит и сам образец, и того, кто его принёс.
Что попадает в отчёт
| Вид | Что означает |
|---|---|
attack |
с адреса атаковали чужие системы |
malware |
с адреса раздаётся вредоносное ПО |
infected |
адрес — пострадавший, а не нападающий |
Вид infected в отчёте сейчас пустой: источника под него пока нет. Это как раз тот случай, когда пустое значение важнее нуля — сказать про чей-то домашний роутер «проверили, чисто», не проверив, хуже, чем честно промолчать.
Почему здесь особенно важно «жертва или нападающий»
Адрес, с которого ломится заражённый роутер, почти никогда не принадлежит злоумышленнику. За ним обычный абонент, который про свой роутер не вспоминал с момента установки и ничего не знает.
Отсюда и разное поведение:
Если адрес чужой — блокировать его бессмысленно. Завтра абонент получит другой, а этот достанется соседу. Сообщите оператору: связаться с абонентом может только он.
Если адрес ваш — это не угроза извне, а задача вам. В сети работает ваше оборудование, которым управляет кто-то другой.
Если это адрес оператора связи — за ним могут стоять сотни абонентов сразу. Решения по одному адресу тут особенно неуместны.
Обновлено