Исследователи из лаборатории Ara Labs обнаружили схему, по которой вирус заражал роутеры и через код
Google Analytics добавлял на чужие
сайты рекламные баннеры.
Как утверждают в компании, размещением рекламы (в том числе и порно-баннеров) занималась российская
рекламная сеть PopUnder.
Для атаки злоумышленники использовали уязвимости в старых роутерах, широко использующихся в домах и офисах. О таких способах атак было известно уже довольно давно, однако из-за недостатка элементарных знаний безопасности в сети, люди продолжали использовать небезопасные устройства.
Суть атаки заключалась в подмене
DNS-адреса. Поскольку современные ОС (операционные системы) используют по умолчанию адрес, который им отдаёт роутер, злоумышленники меняли его через уязвимость и благодаря этому могли внедрять нужный им
код через скрипт статистики Google Analytics, который установлен на большинстве популярных ресурсов в интернете.
Когда жертва заходила на сайт через сеть с заражённым роутером,
скрипт статистики ГА вставлял на страницу код
JavaScript, в котором отображался рекламный баннер. Пользователи ничего не подозревали об этом, потому что для посещаемых ими сайтов реклама была обычным делом.
По данным Ara Labs, встраивание
баннеров тщательно маскировалось в коде, однако дополнительная проверка показала, что все они использовали SSL-сертификаты, подписанные одним сайтом, принадлежащем российской рекламной сети PopUnder.ru.
В отчёте компании не говорится, как именно
вирус заражает роутеры и какие модели подвержены уязвимости. Специалисты лишь порекомендовали обновлять прошивки старых устройств до максимально новых, однако для некоторых из моделей не выпускали новых версий ПО долгие годы, поэтому они требуют полной замены.
Стоит отметить, что в последнее время схема заражения роутеров и подмены DNS для последующего встраивания рекламы стала особенно актуальной среди российских специалистов черных методов продвижению. Ранее подобный способ использовался для демонстрации заглушки с требованием перейти с иностранных браузеров на отечественные
Яндекс.Браузер или UC Browser, тогда вредоносный код встраивался не только через код Google Analytics, но и через ситсему Яндекс.Метрики.
В январе 2014-го специалисты по кибербезопасности из Team-Cymru смогли примерно обозначить масштаб заражения, зарегистрировав 300 тысяч уникальных
IP, обращавшихся к DNS-серверам злоумышленников. Среди заражённых роутеров аналитики назвали модели марок D-Link, Micronet, Tenda, TP-Link, а также устройства на базе ПО Zyxel.
