FSB zneužívá slabé routery v Evropě

Někde v domě stojí ve skříni router. Technik ho nainstaloval před lety, firmware od té doby nikdo neaktualizoval a zařízení stále přijímá tovární heslo. Funguje, takže se na něj nesahá. Právě tahle neviditelnost z něj dělá užitečný nástroj pro ruské zpravodajské služby.

Společné varování, které tento měsíc zveřejnily NSA, FBI a zpravodajské či bezpečnostní úřady nejméně osmi evropských zemí, označuje za systematické zneužívání těchto zapomenutých zařízení konkrétní ruskou jednotku: Center 16 ruské FSB (CISA). Do koalice patří Francie, Itálie, Polsko, Švédsko, Finsko, Estonsko, Dánsko a Česká republika (NCSC NZ). Varování tak není jen americkou zprávou o ruských kyberoperacích. Popisuje slabé místo, které sdílí velká část západní infrastruktury.

Jak půdorys budovy odchází ven

Řada routerů má stále zapnutou starou funkci pro vzdálenou správu, která administrátorům umožňuje řídit zařízení přes síť. Technici ji znají jako SNMP. Její původní verze vznikly před desetiletími a se zabezpečením zacházejí velmi volně. „Heslem“ je krátký textový řetězec, který často zůstává ve výchozím nastavení výrobce: doslova slova „public“ nebo „private“. Kdo prohledává internet, může je prostě zkusit (CISA).

Jakmile se útočník dostane dovnitř, přikáže routeru, aby zkopíroval vlastní konfigurační soubor a odeslal ho na server pod jeho kontrolou (NSA). Takový soubor je v praxi zápisník routeru: ukazuje, jaká zařízení v síti existují, kudy mezi nimi proudí provoz a někdy i kde jsou uložené přístupové údaje. Útočník tak získá vnitřní mapu organizace a často i klíče k hlubšímu průniku.

V analogovém světě by špion zkoušel dveře, dokud jedny nezůstanou odemčené, okopíroval by půdorys budovy, přečetl interní telefonní seznam a všiml si, kde visí klíče. Finské centrum pro kybernetickou bezpečnost to popsalo věcněji: slabě chráněná síťová zařízení otevírají cestu ke kyberútokům a organizace by neměly nechávat panely pro vzdálenou správu viditelné z veřejného internetu (Kyberturvallisuuskeskus).

Odkrytá páteř evropských ekonomik

Varování vyjmenovává cílové sektory: komunikace, energetiku, finanční služby, státní správu, obranný průmysl a zdravotnictví (CISA). Jinými slovy oblasti, bez nichž se žádná evropská ekonomika příliš dlouho neobejde.

Německá média upozornila na asymetrii problému: routery a podobná hraniční zařízení, tedy technika stojící mezi organizací a otevřeným internetem, bývají sledována méně pečlivě než servery nebo notebooky. Přitom jediná špatná konfigurace stačí k tomu, aby si útočník začal mapovat síť (Handelsblatt, cyberdeutsch.news). Italské zpravodajské služby AISE a AISI varování spolupodepsaly (Decode39). Finská kontrarozvědka Supo vydala paralelní národní upozornění pro firmy a kritické sektory (Supo).

Riziko nekončí u první oběti. Ovládnutý router se může stát přeposílací adresou pro další operace: pozdější nepřátelský provoz pak prochází přes síť napadené organizace a vypadá, jako by přicházel od důvěryhodné evropské firmy. Útočník si tím čistí stopu a partnerům i dodavatelům v řetězci ztěžuje odhalení útoku (AttackIQ).

Náprava je nudná. A v tom je problém

Doporučená obrana je záměrně neokázalá: vypnout staré verze SNMP, přejít na SNMPv3, která vyžaduje skutečné ověření, změnit výchozí hesla, omezit vzdálenou správu jen na známé sítě, aktualizovat firmware a vyměnit zařízení, která už nedostávají bezpečnostní opravy (NSA). Finské centrum pro kybernetickou bezpečnost přidalo ještě jednu praktickou položku: sbírat a uchovávat záznamy o provozu šest až dvacet čtyři měsíců (Kyberturvallisuuskeskus).

Každý bod na tomto seznamu může IT tým udělat hned, bez nové regulace i bez zpravodajského briefingu. Slabým místem není znalost, ale priorita. Nemocnice nebo městský úřad mohou mít dobře zabezpečené notebooky, zatímco router na pobočce stále používá heslo, se kterým v roce 2018 odešel z výroby.

Právě před tímto vzorcem teď varují úřady dvaceti zemí. Ruská státní rozvědka se v popsaných případech neprobíjí přes pokročilou obranu. Vchází servisními vstupy, které nikdo nezamkl. Špionáž se dá škálovat proto, že stejná drobná údržbová chyba se opakuje v tisících sítí.