Элтекс

Проблема началась неделю назад. Из очевидных симптомов - на ряде устройств NTE-RG-1402G-W в сети были сброшены настройки на заводские. Настройки были восстановлены и решили, что проблема устранена.
Однако вчера зафиксировали, что с устройств NTE-RG-1402G-W в нашей сети была осуществлена DDoS атака.
Учитывая эту статью - https://xakep.ru/2016/12/08/annie-3-mln-bots/ пришли к выводу, что возможно в ПО устройств был включен вредоносный код. Каким образом можно это проверить? Устранит ли проблему перепрошивка всех устройств. Каким образом можно оперативно это осуществить на большом количестве устройств?

Определить можно посмотрев нет ли не лишних процессов через команду ps, либо наличие не корректных файлов.
В большинстве случаев помогает избавится просто перегрузка, в таком случае очистятся временные папки. Чтобы сто процентов избавится достаточно сбросить устройство к заводским настройкам.
Чтобы избежать подобного в будущем рекомендуем прежде всего изменять пароли доступа до устройств и закрывать доступ при помощи firewall.

Взломали пароли пользователя user, возможно абоненты использовали слабые пароли. Какие порты кроме стандартных вы предлагаете закрыть? В статье говорится про TR-069, каким образом его можно отключить на устройствах?
Перезагрузка устройств 100% не помогает, можно ли быть уверенным, что поможет перепрошивка?
Как посмотреть

наличие не корректных файлов

Могу прислать весь список файлов.
Вот список процессов на зараженном устройстве:

Имелось ввиду закрыть доступ до ONT из внешней сети, что WAN адрес не был доступен из вне.
В данный момент судя по ps не видно, чтобы были запущены какие-нибудь не свойственные онт процессы.

Для того, чтобы TR-69 работал данный сервис должен быть настроен и на интерфейсах должны быть ip адреса, т.е. если вы на OLT не настроили рулы и правила для этого сервиса, то у вас там ничего и не работает.

Почему вы считает что заходили под user?

Имелось ввиду закрыть доступ до ONT из внешней сети, что WAN адрес не был доступен из вне.

У нас белые IP-адреса. Полностью закрыть не получится, только ряд портов. Web, ssh и telnet - этих портов достаточно или возможны какие-то еще уязвимости? Подскажите для чего на устройстве запущен ftp?

Почему вы считает что заходили под user?

Это лишь предположение. На учетную запись user абоненты сами ставят пароли, возможно слишком слабые.

Даже если у Вас белый адреса и вы делает IPoE (либо pppoe ) соединение если у вас включен firewall доступа из вне на устройство не будет.

В терминал можно подключать usb флэшки, для доступа по ftp к ним используется этот сервер.

Александр Д писал(а):Имелось ввиду закрыть доступ до ONT из внешней сети, что WAN адрес не был доступен из вне.
В данный момент судя по ps не видно, чтобы были запущены какие-нибудь не свойственные онт процессы.

sshd разве запускается по умолчанию? И кол-во telnetd выглядит великоватым.

Александр Д писал(а):Имелось ввиду закрыть доступ до ONT из внешней сети, что WAN адрес не был доступен из вне.
Для того, чтобы TR-69 работал данный сервис должен быть настроен и на интерфейсах должны быть ip адреса, т.е. если вы на OLT не настроили рулы и правила для этого сервиса, то у вас там ничего и не работает.

Долго писал, но в итоге решил отправить Александру в личку. tl;dr: есть нюансы

На чем терминируете юзверей? IPoE или PPPoE используется как технология?

Вообще telnet сессий много, можно посмотреть, что в них происходит включив дебаг:

> loglevel set telnetd Debug
> logdest set telnetd Telnet
new log dest set.
> save
config saved.
> reboot

Далее при подключении в телнет будет сыпаться дебаг по всем сессиям.