VPNFilter è un malware multi-stadio progettato per colpire router e NAS (Network-Attached Storage) di vari costruttori. Inizialmente (il 24 maggio del 2018) si era stimato che avesse infettato almeno 500.000 dispositivi nel mondo. In seguito tuttavia sono stati scoperti altri modelli vulnerabili al malware, cosa che potrebbe aggiungere altri 200.000 dispositivi al computo totale. VPNFilter è molto pericoloso: è in grado di rubare dati, anche da connessioni che dovrebbero usare la crittografia; inoltre contiene una funzione di autodistruzione (o un modulo opzionale equivalente) progettata per disabilitare completamente un dispositivo infetto a comando. È persino in grado di permanere in memoria al riavvio del dispositivo. L'FBI ritiene che sia stato creato dal gruppo di hacker russi chiamato Fancy Bear.

Modo di Operare 
VPNFilter è molto versatile ed è in grado di infettare un numero ancora non completamente noto di dispositivi che includono vari router e NAS (si veda l'elenco aggiornato sotto). Sembra che sia stato progettato anche per colpire dispositivi di rete industriale che fanno uso del protocollo Modbus per parlare con e controllare macchinari in fabbriche e magazzini. Il malware contiene codice speciale, dedicato a colpire sistemi di controllo che usano il sistema SCADA.

Si ritiene che il malware usi password di fabbrica e/o vulnerabilità note di software non aggiornato per infettare i dispositivi, tuttavia i ricercatori non ne sono certi. Viene comunque consigliato fortemente di cambiare le password e aggiornare il software per tentare di contenere la diffusione del malware.

VPNFilter è molto versatile/resistente perché si installa in fasi multiple:

 Lo stadio 1 aggiunge del codice estraneo al crontab, ossia alla lista dei task che girano ad intervalli regolari controllati dal programma scheduler cron di Linux. Ciò gli permette di rimanere sul dispositivo e reinfettarlo con gli altri stadi, anche se questi vengono rimossi.
 Lo stadio 2 è la parte principale del malware. Include il codice di base che esegue tutte le funzioni principali (in alcune versioni anche quella di autodistruzione). Inoltre esegue le istruzioni richieste da qualsiasi dei moduli opzionali dello stadio 3.
 Lo stadio 3 comprende vari moduli "plugin" che possono essere scaricati opzionalmente per eseguire compiti specifici, come spiare il traffico di dispositivi industriali (Modbus SCADA), intercettare sessioni criptate per cercare di passarle in chiaro, usare software Tor per comunicare con il "dark web" in maniera criptata, ecc.

Lo stadio 3 è quello più versatile e potenzialmente pericoloso: può scaricare vari moduli opzionali che includono i due plugin dstr e ssler scoperti recentemente.

 Il modulo dstr aggiunge una funzione di distruzione del dispositivo infettato per usi specifici come, ad esempio, per cancellare qualsiasi traccia del malware, così che non sia più analizzabile dai tecnici informatici.
 Il modulo ssler è progettato per lanciare un attacco man-in-the-middle (MITM) sul traffico Web in ingresso al dispositivo infetto.

Che cosa fa 
VPNFilter sniffa i dati sulla rete connessa ad un dispositivo infetto, raccogliendo informazioni come password, nomi utenti, e altre credenziali, oltre che dati di controllo di reti industriali. Inoltre, rende il dispositivo infetto parte di una botnet che può usare come sorgente per degli attacchi che fanno uso delle informazioni rubate.

Misure di mitigazione 
Sia Cisco che Symantec suggeriscono che i proprietari di dispositivi potenzialmente infetti effettuino un reset di fabbrica. Tipicamente questa procedura si effettua con un oggetto appuntito come una graffetta premendo un minuscolo bottone di reset sul retro del dispositivo per 10-30 secondi (a seconda del modello). Ciò dovrebbe rimuovere completamente il malware, ma con anche l'effetto di cancellare qualsiasi modifica alla configurazione effettuata dall'utente (che quindi va poi ripristinata).

Dispositivi vulnerabili a VPNFilter (lista nota) 
Si ritiene che l'infezione iniziale di VPNFilter possa solo avvenire con dispositivi che girano un firmware embedded basato su Busybox o Linux compilati per un certo numero di processori, ma non il Linux standard che gira sui PCs.

I ricercatori hanno identificato i seguenti dispositivi come vulnerabili e quindi potenzialmente infetti:

Dispositivi Asus:

 RT-AC66U
 RT-N10
 RT-N10E
 RT-N10U
 RT-N56U
 RT-N66U

Dispositivi D-Link:

 DES-1210-08P
 DIR-300
 DIR-300A
 DSR-250N
 DSR-500N
 DSR-1000
 DSR-1000N

Dispositivi Huawei:

 HG8245

Dispositivi Linksys:

 E1200
 E2500
 E3000
 E3200
 E4200
 RV082
 WRVS4400N

Dispositivi Mikrotik:

 CCR1009
 CCR1016
 CCR1036
 CCR1072
 CRS109
 CRS112
 CRS125
 RB411
 RB450
 RB750
 RB911
 RB921
 RB941
 RB951
 RB952
 RB960
 RB962
 RB1100
 RB1200
 RB2011
 RB3011
 RB Groove
 RB Omnitik
 STX5
 Mikrotik RouterOS, versioni fino alla 6.38.5 oppure fino alla 6.37.5 a seconda della release 

Dispositivi Netgear:

 DG834
 DGN1000
 DGN2200
 DGN3500
 FVS318N
 MBRN3000
 R6400
 R7000
 R8000
 WNR1000
 WNR2000
 WNR2200
 WNR4000
 WNDR3700
 WNDR4000
 WNDR4300
 WNDR4300-TN
 UTM50

Dispositivi QNAP:

 TS251
 TS439 Pro
 Altri NAS QNAP che girano il software QTS

Dispositivi TP-Link:

 R600VPN
 TL-WR741ND
 TL-WR841N

Dispositivi Ubiquiti:

 NSM2
 PBE M5

Dispositivi Upvel:

 Elenco al momento sconosciuto (i ricercatori non sono stati in grado di identificarli)

Dispositivi ZTE:

 ZXHN H108N

Diffusione 
Cisco Talos ritiene che VPNFilter abbia infettato 500.000-1M di dispositivi nel mondo, in 54 nazioni differenti, anche se con un focus maggiore sull'Ucraina.

Indagine dell'FBI 
L'FBI ha adottato un ruolo molto attivo nella lotta a questo malware, sequestrando il dominio toknowall.com usato dallo stadio 1 del malware per localizzare e installare copie degli stadi 2 e 3.

Consigli dell'FBI per tutti i proprietari di router 
Il 25 maggio 2018, l'FBI ha suggerito a tutti i proprietari di router SOHO e NAS di effettuare un riavvio del proprio dispositivo. Ciò dovrebbe rimuovere temporaneamente gli stadi 2 e 3 e lasciare solo lo stadio 1, che a quel punto dovrebbe tentare di riscaricare gli altri stadi. In quel modo gli investigatori dovrebbero riuscire a scoprire tutti i dispositivi infetti e potenzialmente a scoprire anche ulteriori origini dell'infezione.

Note

Collegamenti esterni per approfondimenti 
 

Software malevoli