俄罗斯APT28组织隐秘攻击Ubiquiti路由器，以逃避安全检测
内容提要
美国联邦调查局和国家安全局发布警告，俄罗斯军方黑客利用被入侵的Ubiquiti EdgeRouters逃避检测。黑客属于俄罗斯总参谋部情报总局下的26165军事单位，利用受攻击的路由器创建僵尸网络，窃取登录凭证和认证信息。警告建议恢复出厂设置、升级固件、更改默认用户名密码，并部署防火墙规则。联邦调查局正在搜集活动信息，以阻止进一步使用这些攻击技术。
延伸解读
路由器成间谍跳板：为何EdgeRouter被盯上
文章指出，Ubiquiti EdgeRouter通常以默认登录凭据出售，且为方便无线互联网服务提供商使用，防火墙保护非常有限或几乎不存在，固件也不会自动更新。这些特性使其成为APT28理想的隐蔽据点。攻击者利用它们创建大型僵尸网络，窃取登录凭证和NTLMv2认证信息，并作为恶意流量的中转站，从而逃避安全检测。
从犯罪僵尸网络到间谍工具：FBI的发现与APT28的复用
FBI本月早些时候破坏了一个由感染Moobot恶意软件的Ubiquiti EdgeRouter组成的犯罪僵尸网络。虽然该网络与APT28无关，但APT28随后重新利用这些路由器，构建了具有全球影响力的网络间谍工具。调查中，FBI发现了APT28使用的多种工具，包括窃取网络邮件凭据的Python脚本、搜集NTLMv2认证摘要的程序，以及自动重定向钓鱼流量的定制路由规则。
防御建议：恢复路由器安全的四个步骤
针对被入侵的EdgeRouter，FBI及合作机构建议：将硬件恢复出厂设置以清除恶意文件；升级到最新固件版本；更改所有默认用户名和密码；在广域网侧接口部署策略性防火墙规则，避免远程管理服务被不当访问。这些措施旨在消除恶意软件感染并阻止APT28的持续访问。
历史脉络：APT28的路由器攻击并非新事
早在2018年4月，美国和英国当局就联合发布报告称，俄罗斯黑客正在攻击家用及企业级路由器。报告强调，APT28长期将互联网路由器作为目标，通过这些设备发起中间人攻击以支持其间谍活动，保持对受害者网络的持续访问，并为进一步攻击奠定基础。此次针对EdgeRouter的行动是该策略的延续。
Q&A
APT28组织利用Ubiquiti EdgeRouters进行攻击的主要目的是什么？
APT28利用被入侵的Ubiquiti EdgeRouters创建大型僵尸网络，以窃取登录凭证、搜集NTLMv2认证信息，并作为恶意流量的中转站。此外，他们还利用这些路由器部署定制工具和设置钓鱼网站登录页面，以支持其间谍活动。
为什么Ubiquiti EdgeRouters容易被APT28入侵？
EdgeRouters通常以默认登录凭据出售，防火墙保护非常有限或几乎不存在，并且除非用户手动设置，否则不会自动更新固件。这些因素使得路由器容易被攻击者入侵。
FBI和NSA针对Ubiquiti EdgeRouters被入侵发布了哪些修复建议？
FBI和NSA建议：将硬件恢复出厂设置以清除恶意文件；升级到最新固件版本；更改所有默认用户名和密码；在广域网（WAN）侧接口部署策略性防火墙规则，避免远程管理服务被不当访问。
APT28组织与俄罗斯政府有何关联？
APT28属于俄罗斯总参谋部情报总局（GRU）下的26165军事单位，也被称为Fancy Bear。该组织被查明是多起高调网络攻击的幕后黑手，包括2016年入侵德国联邦议院、攻击美国民主党国会竞选委员会和民主党全国委员会等。
FBI在调查被黑EdgeRouters时发现了哪些APT28使用的工具？
FBI发现了多种工具和痕迹，包括用来窃取网络邮件凭据的Python脚本、用来搜集NTLMv2认证摘要的程序，以及自动将钓鱼流量重定向到攻击专用基础设施的定制路由规则。
如果发现与APT28攻击相关的可疑行为，应该如何报告？
如果发现任何与这些攻击有关的可疑或非法行为，应立即向当地的FBI办公室或联邦调查局的互联网犯罪投诉中心（IC3）进行报告。
