Устройства Wavlink также содержат скрипт, который перечисляет ближайшие Wi-Fi-сети и имеет возможность подключаться к ним.
https://www.securitylab.ru/upload/ib...137902dd8f.jpg
Исследователь безопасности Мантас Саснаускас (Mantas Sasnauskas) из Cybernews совместно с экспертами Джеймсом Кли (James Clee) и Рони Карта (Roni Carta) обнаружили подозрительные бэкдоры в недорогих маршрутизаторах от китайской компании Wavlink, обычно продаваемых на Amazon или eBay. Устройства Wavlink также содержат скрипт, который перечисляет ближайшие Wi-Fi-сети и имеет возможность подключаться к ним.
Маршрутизаторы Wavlink содержат простой графический интерфейс для своих бэкдоров, который отличается от интерфейса, представленного администраторам маршрутизаторов. Хотя на web-сайте Wavlink есть инструкции о том, как пользователи могут получить доступ к своему маршрутизатору, обнаруженный бэкдор, похоже, создан для удаленного выполнения кода.
В обычных ситуациях злоумышленнику необходим физический доступ к устройству, если он хочет перехватить контроль над маршрутизатором. Однако проанализированные устройства Wavlink содержат файл, позволяющий получить удаленный доступ к маршрутизатору. Проблема связана с отсутствием проверки на серверной части устройства, которая фиксирует только наличие активного сеанса.
Учетные данные, необходимые для доступа к устройству, проверяются в Javascript. Это означает, что при проверке элемента на определенной конечной точке пользователь может получить пароль суперпользователя и удаленный доступ к целевому компьютеру. На устройствах, не имеющих пароля в Javascript, есть незашифрованные резервные копии, которые можно загрузить без аутентификации. Они также позволят злоумышленнику получить пароли администратора.
В устройствах Wavlink в папке bin также существует скрипт с getwifi.sh, в котором перечислены все соседние подключаемые сети Wi-Fi.
Для того, чтобы понять масштабы скрытой «возможности» бэкдора, эксперты решили узнать, пытался ли какой-либо злоумышленник атаковать устройство. Они установили небольшую приманку, перехватывающую трафик маршрутизатора. Первая атака была зафиксирована с IP-адреса в Китае, в ходе которой злоумышленник пытался загрузить вредоносный файл на маршрутизатор, используя уязвимости. Файл содержал вредоносное ПО Mirai, способное подключить устройство к ботнету Mirai.