Cinsky malware na Ubiquiti Edgerouter-X

jap

Narazili jsme na cinsky malware na dvou nasich Ubiquiti edgerouterech X, ktery delal nejake DOSy (syn flood na 80/tcp). Kdyby to nekoho zajimalo, tady je par informaci. Edgeroutery nahrazeny zaloznim hw s puvodni konfiguraci, napadene zarizeni analyzujeme.

midnight_man

reportnute do ubnt?

jap

midnight_man jj - snad si to prectou tady

jap

a jde to zda se vycistit na dalku:

cleaning hacked router works easily and remotely using cli - if you have backup system image..

1) reboot to backup system image

2) clear extended file attributes sudo chattr -a -i -R /root.dev/w*

3) remove hacked system image

4) download new system image

5) reboot

midnight_man

jak do toho routra ziskali pristup? bol na verejke? cez web? ssh?

jap

midnight_man zatim nevime, byl na verejce.

misho

Týka sa to len modelu X ?

jap

misho zjevne maji verzi pro mips32 i mips64 - jeden napadany byl er-x a druhy er-4.

misho

Boli tie Edgeroutery v UNMS?

jap

misho ano. proc? ted jsem se dival jestli nebude neco zajimaveho v logu unms a nic..

misho

jap len či sa tam cez UNMS niečo nedostalo.

Alebo to išlo inou cestou.

vecino

Měli jste tam alespoň nějaký firewall na INPUT chain, když tam byla veřejka? Nebo to bylo z venku plně přístupný?

midnight_man

ake sluzby to malo otvorene?