suk zariadenia máme skontrolované, SOCKS všade zavretý, takže nemám skúsenosti. Qrator Labs v článku tvrdia že šlo predovšetkým o útoky využívajúce HTTP pipe-lining, takže pochybujem že útočník najprv tipoval doménové názvy. Tie grafy budú znázorňovať skôr niečo iné.
Stálo by za skúšku postaviť honeypot a čakať, kto a ako začne otvorený SOCKS zneužívať. Alebo osloviť niekoho z projektu Turris, či už tieto dáta nemajú.
Čo som ale našiel z archívnych konfigov infikovaných MK, sú zaujímavé 2 veci:
- SOCKS port bol zmenený na náhodný port (našiel som 6980, 8068, 5678, 2421, ...)
- v niektorých infikovaných MK bol taktiež pridaný access list s povolenými IP, ktoré môžu SOCKS využívať
/ip socks access
add src-address=77.238.240.0/24
add src-address=178.239.168.0/24
add src-address=77.238.228.0/24
add src-address=94.243.168.0/24
add src-address=213.33.214.0/24
add src-address=31.172.128.45
add src-address=31.172.128.25
add src-address=10.0.0.0/8
add src-address=185.137.233.251
add src-address=5.9.163.16/29
add src-address=176.9.65.8
add src-address=82.202.248.5
add src-address=95.213.193.133
add src-address=136.243.238.211
add src-address=178.238.114.6
add src-address=46.148.232.205
add src-address=138.201.170.176/29
add src-address=178.63.52.200/29
add src-address=136.243.90.80/29
add src-address=136.243.21.232/29
add src-address=95.213.221.0/24
add src-address=159.255.24.0/24
add src-address=31.184.210.0/24
add src-address=188.187.119.0/24
add src-address=188.233.1.0/24
add src-address=188.233.5.0/24
add src-address=188.233.13.0/24
add src-address=188.232.101.0/24
add src-address=188.232.105.0/24
add src-address=188.232.109.0/24
add src-address=176.212.165.0/24
add src-address=176.212.169.0/24
add src-address=176.212.173.0/24
add src-address=176.213.161.0/24
add src-address=176.213.165.0/24
add src-address=176.213.169.0/24
add src-address=5.3.113.0/24
add src-address=5.3.117.0/24
add src-address=5.3.121.0/24
add src-address=5.3.145.0/24
add src-address=5.3.149.0/24
add src-address=5.3.153.0/24
add src-address=5.167.9.0/24
add src-address=5.167.13.0/24
add src-address=5.167.17.0/24
add src-address=94.180.1.0/24
add src-address=94.180.5.0/24
add src-address=94.180.9.0/24
add src-address=217.119.22.83
add src-address=192.243.53.0/24
add src-address=176.9.65.8
add src-address=135.181.15.102
add src-address=198.18.0.0/15
add src-address=139.99.94.160/29
add action=deny src-address=0.0.0.0/0
Trebalo by sa pozrieť na tieto rozsahy, či skutočne prichádzali útoky od nich alebo len existuje viacero variánt infekcií.
