[caiu] Virus UBNT

Diego Canton de Brito diegocanton em ensite.com.br
Dom Maio 15 14:37:32 BRT 2016 

Ele remove os arquivos do vírus, usuário adicionado pelo vírus, muda a
porta HTTP para 81 e desativa o HTTPS. 

Há outros no GIT que irão atualizar o equipamento para 5.6.4. 

Eles são exemplos para que o pessoal possa aplicar suas próprias
soluções. 

Segundo o que entendi no Fórum do assunto, após cerca de 18 horas
rodando o Vírus reseta o rádio. 

Em 2016-05-15 14:11, Felippe Alves Constantino escreveu:

> Boa tarde!
> 
> Esse script "wget -qO-
> https://raw.githubusercontent.com/diegocanton/remove_ubnt_mf/master/desinfect.sh
> | sh" reseta o rádio, ou volta continua a configuração que está sem o vírus?
> 
> Att.
> 
> Em 15 de maio de 2016 14:08, José Nilton <jn em linkcariri.com> escreveu:
> 
> Boa tarde
> alguém ja identificou por qual porta esta vindo esse vírus e ip ?
> 
> Em dom, 15 de mai de 2016 às 14:02, Diego Canton de Brito <
> diegocanton em ensite.com.br> escreveu:
> 
> Sim, a saída será os IPs que estão fazendo consultas DNS ao servidor, por
> xxx.xxx.xxx.xxx. que será tratada como nxdomain, essa resposta está sendo
> filtrada no comando, removido todos os demais dados e apresentado apenas os IPs possivelmente infectados, pois não são válidos e comuns as consultas
> pelo domínio "." (Domínio Ponto)
> Como disse quando postei o comando, ele deve ser executado em seu servidor DNS.
> --
> Enviado do aplicativo myMail para Android domingo, 15 maio 2016, 01:52PM
> -03:00 de Andrio Prestes Jasper < mascaraapj em gmail.com> :
> 
> Esses ips são da sua rede? provavelmente estão infectados.
> 
> Em 15 de maio de 2016 12:49, Felipe L. Gobetti < fel3456 em gmail.com > escreveu: 
> Senhores,
> Executei o comando aqui nos servidores DNS, o que tem de retorno, é
 apenas 

>> IPs, um abaixo do outro.
>> Isso significa que esta limpo??
>> 
>> Em 15 de maio de 2016 11:47, Andrio Prestes Jasper <
 mascaraapj em gmail.com > 

> escreveu:
> 
> meu caro, caso tenha acompanhado... não importa a complexidade da
 senha, 

> o virus consegue entrar assim mesmo, pois a falha que ele explora não precisa de autenticação.
> 
> Eu também achei que não tinha problema.
> Até rodar o comando abaixo no servidor DNS, foi quando descobri
 alguns 

> clientes infectados mas que ainda não tinha dado problema.
> 
> tcpdump -vvv -n port 53 -i eth0 | grep -i nxdomain | grep "ns: . " |
 cut 

> -f5-8 -d "." | cut -f3 -d " "
> 
> Em 15 de maio de 2016 10:08, VPNVyrtual.Com < vpnvyrtual em gmail.com

> escreveu:
> 
> Eu tenho que admirar viu. A culpa desse caos são dos descuidados
 donos 

> de provedores de meia boca que cometem a gafe de deixar seus
 equipamentos 

> na porta 80 ou 443 e ainda deixa uma senha fraca (sem @#$, etc.).
> Venho acompanhando isso em forum polones a varios meses que falam
 de 

> coisas localizadas no leste Europeu, assim como um famoso rootkit que se
 camufla 

>> nos equipamentos MK (alguem se lembra dos cracks do autocad que
 mandava 

> arquivos para a China?).
> 
> A UBNT vem falando e adicionando regras de segurança ja faz tempo.
> 
> Aqui tenho cerca de 80% com firmware proprio e o restante 5.63 e
 5.64. 

> Não tive o menor problema. Quanto ao EdgeSwitch é uma cagada da UBNT
 não 

> permitir trocar o usuario master (tem que ser ubnt). Consegui
 somente 

> via Cli.
> 
> Quanto ao EdgeRouter vai pelo mesmo rumo.
> 
> Demais coisas beijos e abraços e boa sorte, ja que aprender a
 lingua 

> inglesa é uma obrigatoriedade e ficar alerta mais ainda.
 ahahahahaha 

> -
> _______________________________________________
> caiu mailing list
> caiu em eng.registro.br
> https://eng.registro.br/mailman/listinfo/caiu
> 
> --> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:
> 
> https://eng.registro.br/mailman/options/caiu
> 
> --
> Andrio Prestes Jasper
> Celular: (65) 9320-3170 / 8444 0040
> _______________________________________________
> caiu mailing list
> caiu em eng.registro.br
> https://eng.registro.br/mailman/listinfo/caiu
> 
> --> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:
> 
> https://eng.registro.br/mailman/options/caiu

--

Att.
Felipe L Gobetti
 fel3456 em gmail.com
(44) 9829 6093
_______________________________________________
caiu mailing list
 caiu em eng.registro.br
 https://eng.registro.br/mailman/listinfo/caiu

--> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:

 https://eng.registro.br/mailman/options/caiu

--
Andrio Prestes Jasper
Celular: (65) 9320-3170 / 8444 0040
_______________________________________________
caiu mailing list
caiu em eng.registro.br
https://eng.registro.br/mailman/listinfo/caiu

--> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:

https://eng.registro.br/mailman/options/caiu
_______________________________________________
caiu mailing list
caiu em eng.registro.br
https://eng.registro.br/mailman/listinfo/caiu

--> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:

https://eng.registro.br/mailman/options/caiu
 --
José Nilton
Telefone : ( 88 ) 9612 - 0564
Skype : jn em linkcariri.com
_______________________________________________
caiu mailing list
caiu em eng.registro.br
https://eng.registro.br/mailman/listinfo/caiu

--> PARA SAIR DA LISTA SIGA AS INSTRUÇÕES em:

https://eng.registro.br/mailman/options/caiu

Mais detalhes sobre a lista de discussão caiu