ФСБ пробива европейски рутери

Някъде в сградата има рутер, оставен в шкаф. Инсталиран е преди години, работи с фърмуер, който никой не е обновявал, и все още приема фабричната си парола. Устройството не създава видим проблем, затова никой не го пипа. Тъкмо тази невидимост го прави полезно за руското разузнаване.

Съвместно предупреждение, публикувано този месец от Агенцията за национална сигурност на САЩ, ФБР и разузнавателни служби от поне осем европейски държави, посочва конкретно руско звено — Център 16 на ФСБ — като отговорно за системно използване на такива забравени устройства (CISA). В коалицията участват Франция, Италия, Полша, Швеция, Финландия, Естония, Дания и Чехия (NCSC NZ). Предупреждението е многонационално и разглежда лошата поддръжка на рутери като обща уязвимост на западните държави.

Как планът на сградата излиза през вратата

Много рутери все още имат включена стара функция за дистанционно управление, която позволява на администраторите да управляват оборудването през мрежа. Инженерите я наричат СНМП. Първите версии на този протокол, създадени преди десетилетия, почти не предлагат защита. „Паролата“ е кратък текстов низ, често оставен във фабричния си вид: буквално думите „пъблик“ или „прайвът“. Всеки, който сканира интернет, може да ги отгатне (CISA).

След като получи достъп, нападателят кара рутера да копира собствения си конфигурационен файл и да го изпрати към контролиран от него сървър (NSA). Този файл е нещо като бележника на устройството: кои системи съществуват в мрежата, как се движи трафикът между тях и понякога къде се пазят данни за достъп. Така нападателят получава вътрешна карта на организацията, а често и ключове за по-дълбоко проникване.

Практическият образ е прост: шпионин пробва врати, докато намери отключена, снима плана на сградата, преглежда вътрешния телефонен указател и вижда къде стоят ключовете. Финландският център за киберсигурност го формулира без драматизация: слабо защитените мрежови устройства отварят път за кибератаки, а организациите не бива да оставят тези панели за дистанционно управление видими от публичния интернет (Kyberturvallisuuskeskus).

Гръбнакът на европейските икономики е изложен

Предупреждението изброява засегнатите сектори: комуникации, енергетика, финансови услуги, държавно управление, отбранителна индустрия и здравеопазване (CISA). Това на практика е гръбнакът на всяка европейска икономика.

Германските публикации подчертаха асиметрията: рутери и други гранични устройства, тоест техниката между една организация и отворения интернет, често се наблюдават по-слабо от сървърите или лаптопите. В същото време една неправилна настройка е достатъчна, за да започне нападателят да картографира мрежата (Handelsblatt, cyberdeutsch.news). Италианските разузнавателни служби АИСЕ и АИСИ са сред подписалите предупреждението (Decode39). Финландската служба за сигурност Супо издаде паралелно национално предупреждение към компании и критични сектори (Supo).

Рискът не спира при първата жертва. Компрометиран рутер може да стане междинен адрес за нападателя: по-късен враждебен трафик минава през мрежата на жертвата и изглежда сякаш идва от доверена европейска компания. Това прикрива присъствието на нападателя и усложнява засичането му за всеки партньор и доставчик по веригата (AttackIQ).

Решението е скучно — и точно това е проблемът

Препоръчаните мерки умишлено не звучат впечатляващо: изключване на старите версии на СНМП, преминаване към СНМП версия 3, която изисква реално удостоверяване, смяна на фабричните пароли, ограничаване на дистанционното управление само до познати мрежи, обновяване на фърмуера и подмяна на устройства, които вече не получават поправки за сигурност (NSA). Финландският център за киберсигурност добавя и събиране и съхраняване на логове за период от шест до двадесет и четири месеца (Kyberturvallisuuskeskus).

Всяка точка от този списък може да бъде изпълнена от ИТ екип още сега, без нова регулация или разузнавателен брифинг. Пропускът е в приоритета, не в знанието. Болница или общинска администрация може да поддържа добра защита на лаптопите си, докато рутер в отдалечен офис още работи с паролата, с която е доставен през 2018 г.

Това е моделът, за който предупреждават двадесет държави. Руското държавно разузнаване не пробива непременно сложни защити. То минава през сервизни отвори, които никога не са били заключени. Шпионажът се мащабира, защото една и съща малка грешка в поддръжката се повтаря в хиляди мрежи.