Reititin käynnistyy itsekseen – uusi haittaohjelma tekee sen tahallaan
Tengu-haittaohjelma kaappaa laitteen sisäisen vahtikoira-ajastimen ja syöttää sille elonmerkkejä puolen minuutin välein. Kun ohjelma yritetään tappaa, elonmerkit loppuvat ja laitteisto käynnistää reitittimen uudelleen. Neljä muuta kiinnittymistapaa saa silloin uuden yrityksen.
Tiivistelmä
Nozomi Networks Labs kuvasi maanantaina Mirai-pohjaisen Tengu-bottiverkon, joka käyttää reitittimen vahtikoira-ajastinta pysyäkseen laitteessa ja tekee saastuneesta kodista palvelunestohyökkäysten ja välitysliikenteen lähtöpaikan. Tutkijat eivät nimeä yhtään valmistajaa tai laitemallia eivätkä julkaise tartuntamääriä. Suomesta havaintoja ei ole, mutta Kyberturvallisuuskeskus varoitti heikosti suojatuista verkkolaitteista kaksi viikkoa sitten.
Kotireititin käynnistyy itsestään uudelleen keskellä iltaa. Oire on helppo lukea vanhenevan laitteen kiukutteluksi, ja usein se sitä onkin. Nozomi Networks Labsin maanantaina julkaisema analyysi kuvaa kuitenkin haittaohjelman, jolle uudelleenkäynnistys on tarkoitus eikä sivuvaikutus.
Tengu-nimen saanut ohjelmisto pohjaa vanhaan Mirai-koodiin. Uutta siinä on sitkeys, jota The Hacker News nosti esiin tiistaina.
Ohjelma ottaa haltuunsa laitteen laitteistotason vahtikoiran eli ajastimen, jonka tehtävä on herättää jumiin mennyt laite henkiin. Vahtikoiralle syötetään elonmerkkejä noin 30 sekunnin välein. Kun puolustaja tappaa haittaohjelman prosessin, elonmerkit loppuvat ja laitteisto käynnistää reitittimen uudelleen.
Vahtikoira (watchdog)
Vahtikoira on laitteen sisäinen ajastin, jonka pitäisi käynnistää jumittunut reititin uudelleen. Jonkin ohjelman on nollattava se säännöllisesti, tai laite käynnistyy. Tengu ottaa nollaamisen itselleen, jolloin ohjelman pysäyttäminen tuottaa juuri sen uudelleenkäynnistyksen.
Uudelleenkäynnistys ei puhdista laitetta. Se antaa Tengun neljälle muulle kiinnittymistavalle uuden yrityksen.
Samalla laitteen omat uudelleenkäynnistys- ja sammutuskomennot on rikottu ylikirjoittamalla. Laitetta ei siis saa enää hallitusti alas sitä kautta, mistä sen normaalisti sammuttaisi.
Miksi joku näkee tämän vaivan kotireitittimen takia? Koska laite ei ole kohde vaan väline.
Tengussa on 25 eri tapaa toteuttaa palvelunestohyökkäys. Se pystyttää laitteeseen myös SOCKS5-välityspalvelimen eli piilotetun liikenteenvälittäjän ja ajaa sille annettuja komentoja. Saastuneen kodin verkkoyhteydestä tulee rikollisen liikenteen läpikulkupaikka.
Välityspalvelimen läpi ajettu liikenne näkyy kohteelle kotitalouden omasta osoitteesta. Selvittelyt osuvat silloin ensimmäisenä siihen tilaajaan, jonka laite on kaapattu.
Leviäminen tapahtuu varsin vanhalla keinolla, Telnet-yhteyden salasanojen raa'alla arvaamisella. Telnet on kaukokäyttöyhteys, joka on monessa iäkkäässä laitteessa päällä valmiiksi ja jonka tunnukset ovat luettavissa ohjekirjasta.
Kohteena ovat reitittimet, valvontakamerat ja tallentimet sekä Android-pohjaiset TV-boksit ja älytelevisiot. Teollisuusjärjestelmiä Tengu ei tavoittele.
Mitä jää auki
Nozomi ei nimeä yhtään valmistajaa eikä yhtään laitemallia. Tartuntamääriä tai maantieteellistä jakaumaa ei ole toistaiseksi julkaistu, ja havainnot ovat tutkijoiden omista houkutuslaitteista.
Kuluttajan kannalta puuttuva laitelista on näistä hankalin. Ilman valmistajan nimeä kukaan ei pysty tarkistamaan, koskeeko löydös hänen omaa reititintään.
Suomesta ei ole ainakaan vielä yhtään Tengu-havaintoa.
Kyberturvallisuuskeskus varoitti samasta kaksi viikkoa sitten
Keskus julkaisi 15. heinäkuuta artikkelin siitä, miten heikosti suojatut verkkolaitteet avaavat väylän kyberhyökkäyksille. Tengu on tuosta väylästä tuore esimerkki, vaikka artikkelissa ei tätä ohjelmistoa nimetäkään. Kotikäyttäjän kannalta kyse ei ole omien tietojen viemisestä vaan siitä, että laite otetaan toisen hyökkäyksen osaksi.
Keskuksen kotireititinohje sanoo saman lyhyemmin.
– Kaapattuja verkkolaitteita käytetään esimerkiksi palvelunestohyökkäysten tekemiseen, ohjeessa todetaan.
Sama ohje osoittaa myös, mistä ongelma yleensä alkaa.
– Reitittimen etähallinta on suurin yksittäinen riski laitteen tietoturvalle.
Mittakaavaa suomalaisiin verkkoihin antaa Kyberturvallisuuskeskuksen Autoreporter-järjestelmä, joka teki vuonna 2025 lähes 200 000 haittaohjelmahavaintoa. Yleisin havainto oli Android-TV-boksien BadBox 2.0. Kyseessä on eri haittaohjelma ja eri vuosi kuin Tengussa, mutta laiteluokka on ihan sama.
Mitä tehdä
Kuinka moni avaa reitittimensä asetukset kertaakaan vuoden aikana?
- Vaihda laitteen oletustunnukset heti käyttöönotossa.
- Sulje reitittimen etähallinta internetistä.
- Päivitä laiteohjelmisto ja tarkista päivitykset säännöllisesti.
- Luovu laitteesta, jota valmistaja ei enää tue.
- Jos reititin käynnistyy toistuvasti itsekseen, se on syy epäillä eikä pelkkä kiusa.
Havainnot heikosti suojatuista tai oudosti käyttäytyvistä laitteista voi ilmoittaa osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Nurkassa huriseva reititin ei näytä miltään. Ei ainakaan siltä, että sen läpi kulkisi jonkun toisen hyökkäysliikenne.