Масово заразени UBNT устройства

[net-sar]

да за порт 80 .Променяте го на нещо друго и после,като решите да влезете пишете ip адреса и добавяте  :2270 или това което сте си измисли.Така си гарантирате,че при евентуално узнани е на ip адреса ви,няма да може да атакува даденото устройство.Да но да съм бил полезен

[master]

По принцип да но с един порт скан и пак ги виждат.

[niki5]

Така е с порт скенер всичко лъсва ама и работата на хакера двойна.Втората мярка е задължителна ,а именно смяна на паролата .А аз препоръчвам да е дума на български ама с латински и даже препоръчвам на шлокавица.Така и работата става над четворна.И трето но не на последно място сменете си и юзарите.И най важното ако ви позволяват устройствата и ситоацията те да са с нереални IP-та и в отделен мениджмант вилан. А и не използвайте 8080 то хакерите след 80 ти първо там гледат хахахахах .Казвам го на колегите ама те упорито си ги настройват на него и постоянно ходат да пренастройват тп-линкове.

[JohnTRIVOLTA]

Не може ли да се вкара в блеклиста портсканера/те/ , както в ROS !?

[ефект]

начини има много но факт е ,че от ubnt им куца нещо. Може би умишлено?

[master]

На всеки му куца по нещо.

[niki5]

Апсолзтно съм за последното всеки си има кусори.Всичко има плюсове и минуси ,само че търговеца опоменава само плюсовете.За минусите разбираме сами и по апдейтите .

[yordanstefanov]

Здравейте, от 2 седмици имаме следния проблем с 80 процента от ubnt устройствата. Някои спряха тотално,  а на останалите изчезна уеб достъпа пинг до тях си има но уеб - не. Някой ако е запознат, ще бъда благодарен за съдействие...

[master]

Ssh има ли?

[bozio]

Днес засяках   2 антени заразени  версия 5.5.6  с https  с реално ип на АП-то и сетнато като рутер , беше заразен и клиентската която беше с вътрешно ип

Достъпът до 443 i 80 беше DROP  в фиревала : оправя се по следният начин  iptables -F

 

[yordanstefanov]

ssh имам

през ssh с горепосочените упътвания стана номера благодаря

[master]

Преди 6 часа, bozio написа:

Днес засяках   2 антени заразени  версия 5.5.6  с https  с реално ип на АП-то и сетнато като рутер , беше заразен и клиентската която беше с вътрешно ип

Достъпът до 443 i 80 беше DROP  в фиревала : оправя се по следният начин  iptables -F

 

Сега интересното е дали вируса по подразбиране спира 443 и 80 или "вижда" кой е сетнат и спира него.

[ushoplias]

При мен пък има няколко с качен фърм XM.v5.5.8.0xFF.v29. Нищо няма променено, освен че има добавен AirControl сървър. Обаче някои не мога да ги упдейтна, какво ли не пробвах - през уеб, през ssh, имам чувството че е пусната някаква защита на нанд-а от запис, и пробвах с 'mtd' пакета от openwrt 'mtr unlock ...', ама пак не става. Единствено през tftp става да се ъпдейтне. Някой да даде идея какво друго мога да пробвам да го оправя remote?

[hgd]

Това не работи ли, ushoplias? http://community.ubnt.com/t5/airMAX-General-Discussion/Virus-attack-URGENT-UBNT/m-p/1568128#M56007

[ushoplias]

Checking...
Not infected by .skynet or pimpampum or exploitim
Done.
Not infected by .skynet or pimpampum or exploitim
Done.
Preparing Upgrade...
Done.
Uploading firmware: /firmwares/XM.bin ...
Sending... [%100]
Done.
Upgrading...
Current ver: 328968
New version: 329221
No need to fix.
Writing 'u-boot         ' to /dev/mtd0(u-boot         ) ...  [%100]
Writing 'kernel         ' to /dev/mtd2(kernel         ) ...  [%100]
Writing 'rootfs         ' to /dev/mtd3(rootfs         ) ...  [%100]
Done

И след като се ребутне, пак си е с XM.v5.5.8.0xFF.v29

 

XM.v5.5.8.0xFF.v29# cfgmtd -w; reboot -f
Found  Active on[1] ...
Found Backup1 on[2] ...
Storing Active[2] ... [%100]
Active->Backup[1] ... [%100]

И след ребута:

XM.v5.5.8.0xFF.v29# ls -al
drwxr-xr-x    4 admin    admin         120 Jan  1  1970 .
drwxr-xr-x   10 admin    admin         820 Jan 23 17:00 ..
-rw-------    1 admin    admin         457 May 28  2013 dropbear_dss_host_key
-rw-------    1 admin    admin         427 May 28  2013 dropbear_rsa_host_key
drwxr-xr-x    2 admin    admin          80 Jan  1  1970 https
drwxr-xr-x    3 admin    admin          60 Jan  1  1970 mcuser

Пак са си там.