FSB-egység tör be európai routerekbe

Valahol egy irodaházban, egy szekrény mélyén ma is működik egy router. Évekkel ezelőtt szerelték fel, a szoftverét azóta senki nem frissítette, és még mindig elfogadja a gyári jelszót. Mivel látszólag teszi a dolgát, senki nem nyúl hozzá. Éppen ez a láthatatlanság teszi értékessé az orosz hírszerzés számára.

Az NSA, az FBI és legalább nyolc európai ország hírszerző, illetve kiberbiztonsági szervei ebben a hónapban közös figyelmeztetésben nevezték meg az orosz FSZB 16-os központját, mint azt az egységet, amely módszeresen használja ki ezeket az elfelejtett eszközöket (CISA). A koalícióban Franciaország, Olaszország, Lengyelország, Svédország, Finnország, Észtország, Dánia és Csehország is szerepel (NCSC NZ). A jelzés nem egyetlen ország problémájaként kezeli az ügyet: a routerek elhanyagolt biztonsága közös nyugati kitettségként jelenik meg benne.

Hogyan kerül ki az épület alaprajza

Sok routeren ma is be van kapcsolva egy régi távmenedzsment-funkció, amelyen keresztül a rendszergazdák hálózaton át kezelhetik az eszközt. A mérnöki nyelv ezt SNMP-nek hívja. Az első változatait évtizedekkel ezelőtt tervezték, minimális biztonsági védelemmel. A „jelszó” gyakran csak egy rövid szöveg, amelyet sok helyen a gyári alapértéken hagynak: szó szerint „public” vagy „private”. Ezt bárki kitalálhatja, aki az interneten ilyen eszközöket keres (CISA).

Ha a támadó bejut, utasíthatja a routert, hogy másolja le a saját konfigurációs fájlját, majd küldje el egy általa ellenőrzött szerverre (NSA). Ez a fájl a router jegyzetfüzete: megmutatja, milyen eszközök vannak a hálózaton, merre halad a forgalom, és néha azt is, hol tárolnak hozzáférési adatokat. A támadó így belső térképet kap a szervezetről, gyakran olyan információkkal együtt, amelyekkel mélyebbre is juthat.

A művelet logikája egyszerű: valaki végigpróbálja az ajtókat, majd ahol nyitva talál egyet, lemásolja az alaprajzot, átnézi a belső telefonkönyvet, és megnézi, hol tartják a kulcsokat. A finn kiberbiztonsági központ gyakorlati nyelven fogalmazott: a gyengén védett hálózati eszközök utat nyitnak a kibertámadásoknak, ezért a szervezeteknek nem szabad a nyilvános internet felől elérhetővé tenniük ezeket a távoli kezelőfelületeket (Kyberturvallisuuskeskus).

Európai gazdaságok alapinfrastruktúrája látszik ki

A figyelmeztetés célzott ágazatokat is felsorol: hírközlés, energia, pénzügyi szolgáltatások, államigazgatás, védelmi ipar és egészségügy (CISA). Ez gyakorlatilag bármelyik európai gazdaság gerince.

A német beszámolók főként az aránytalanságra hívták fel a figyelmet: a routereket és más peremeszközöket, vagyis azokat a berendezéseket, amelyek egy szervezetet az internethez kapcsolnak, gyakran kevésbé figyelik, mint a szervereket vagy a laptopokat. Pedig egyetlen rossz beállítás is elég lehet ahhoz, hogy a támadó elkezdje feltérképezni a hálózatot (Handelsblatt, cyberdeutsch.news). Az olasz AISE és AISI hírszerző szolgálatok is aláírták a közös figyelmeztetést (Decode39). A finn Supo külön nemzeti riasztást adott ki vállalatoknak és kritikus ágazatoknak (Supo).

A kockázat nem áll meg az első áldozatnál. Egy feltört router továbbítóállomássá válhat: a későbbi ellenséges forgalom már az áldozat hálózatán keresztül halad, ezért úgy tűnhet, mintha egy megbízható európai vállalattól érkezne. Ez elfedi a támadó jelenlétét, és a lánc minden partnerének, beszállítójának megnehezíti az észlelést (AttackIQ).

A megoldás unalmas, és éppen ez a gond

Az ajánlott védekezés szándékosan nem látványos: ki kell kapcsolni a régi SNMP-verziókat, át kell állni SNMPv3-ra, amely már valódi hitelesítést kér, meg kell változtatni a gyári jelszavakat, a távoli menedzsmentet ismert hálózatokra kell korlátozni, frissíteni kell a firmware-t, és le kell cserélni azokat az eszközöket, amelyekhez már nem érkezik biztonsági javítás (NSA). A finn kiberbiztonsági központ még egy elemet hozzátesz: a naplókat hat-huszonnégy hónapig gyűjteni és megőrizni érdemes (Kyberturvallisuuskeskus).

A listán szereplő lépésekhez nincs szükség új szabályozásra vagy hírszerzési eligazításra. Egy informatikai csapat most is el tudja végezni őket. A hiány nem a tudásban, hanem a prioritásokban van. Egy kórház vagy önkormányzati hivatal közben tarthat fenn erős védelmet a laptopokon, miközben egy fiókirodai routeren még mindig az a jelszó él, amellyel 2018-ban kiszállították.

Erre a mintázatra figyelmeztet most húsz ország. Az orosz állami hírszerzés ebben az esetben nem fejlett védelmi rendszereket tör át, hanem olyan karbantartási nyílásokon lép be, amelyeket soha nem zártak le. A kémkedés azért skálázható, mert ugyanaz a kis üzemeltetési mulasztás ezernyi hálózatban ismétlődik.