FSB udnytter svage routere i Europa

Et sted i bygningen står en router i et skab. Den blev sat op for år tilbage, kører på firmware, ingen har opdateret, og accepterer stadig fabrikkens adgangskode. Den virker, og derfor rører ingen ved den. Netop den usynlighed gør den nyttig for russisk efterretningstjeneste.

I en fælles advarsel offentliggjort denne måned udpeger NSA, FBI og efterretningstjenester fra mindst otte europæiske lande en bestemt russisk enhed, FSB Center 16, som ansvarlig for systematisk at udnytte den slags glemte enheder (CISA). Koalitionen omfatter Frankrig, Italien, Polen, Sverige, Finland, Estland, Danmark og Tjekkiet (NCSC NZ). Advarslen er multinational, fordi problemet ikke ligger hos enkelte sjuskede virksomheder. Det er en fælles vestlig sårbarhed.

Hvordan bygningens plantegning forlader huset

Mange routere har stadig en gammel fjernstyringsfunktion slået til. Den gør det muligt for administratorer at styre udstyr på afstand over et netværk. Teknikere kalder den SNMP. De oprindelige versioner blev designet for årtier siden og har næsten ingen reel sikkerhed. "Adgangskoden" er en kort tekststreng, som ofte står på fabriksindstillingen: helt bogstaveligt "public" eller "private". Enhver, der scanner internettet, kan gætte den (CISA).

Når først en angriber er inde, kan routeren instrueres i at kopiere sin egen konfigurationsfil og sende den til en server, angriberen kontrollerer (NSA). Den fil fungerer som routerens notesbog: hvilke enheder der findes på netværket, hvordan trafikken bevæger sig mellem dem, og nogle gange hvor adgangsoplysninger ligger gemt. Angriberen får dermed et internt kort over organisationen og ofte også nøgler til at bevæge sig videre.

Det svarer til, at en spion prøver døre, indtil en står ulåst, kopierer bygningens plantegning, læser den interne telefonliste og ser, hvor nøglerne hænger. Finlands cybersikkerhedscenter formulerer det mere tørt: Svagt beskyttede netværksenheder åbner en vej for cyberangreb, og organisationer bør ikke lade fjernstyringspaneler være synlige fra det åbne internet (Kyberturvallisuuskeskus).

Rygraden i europæisk økonomi står eksponeret

Advarslen nævner de sektorer, der er blevet målrettet: kommunikation, energi, finansielle tjenester, offentlig forvaltning, forsvarsindustrien og sundhedsvæsenet (CISA). Det er i praksis rygraden i enhver europæisk økonomi.

Tysk dækning har fremhævet skævheden i risikoen: Routere og andet grænseudstyr, altså udstyret mellem en organisation og det åbne internet, overvåges ofte mindre grundigt end servere og bærbare computere, selv om én forkert indstilling kan være nok til, at en angriber kan begynde at kortlægge et netværk (Handelsblatt, cyberdeutsch.news). De italienske efterretningstjenester AISE og AISI har medunderskrevet advarslen (Decode39). Den finske efterretningstjeneste Supo har samtidig udsendt en national advarsel til virksomheder og kritiske sektorer (Supo).

Risikoen stopper ikke ved det første offer. En kompromitteret router kan bruges som mellemstation for angriberen. Senere fjendtlig trafik kan sendes gennem offerets netværk, så den ser ud til at komme fra en betroet europæisk virksomhed. Det vasker angriberens tilstedeværelse ren og gør det sværere for partnere og leverandører i kæden at opdage angrebet (AttackIQ).

Løsningen er kedelig, og det er problemet

De anbefalede forsvarstiltag er bevidst udramatiske: Slå gamle SNMP-versioner fra, opgrader til SNMPv3, som kræver reel godkendelse, skift standardadgangskoder, begræns fjernstyring til kendte netværk, opdater firmware, og udskift enheder, der ikke længere får sikkerhedsrettelser (NSA). Finlands cybersikkerhedscenter føjer til, at organisationer bør indsamle og gemme logdata i seks til 24 måneder (Kyberturvallisuuskeskus).

Alt på listen kan en IT-afdeling gøre nu uden ny regulering eller hemmelige efterretningsbriefinger. Hullet handler om prioritet, ikke viden. Et hospital eller en kommune kan have solid sikkerhed på medarbejdernes computere, mens en router på et lokalkontor stadig kører med den adgangskode, den havde med fra fabrikken i 2018.

Det er det mønster, omkring 20 lande nu advarer imod. Russisk statsefterretning bryder ikke nødvendigvis gennem avancerede forsvarsværker. Den går ind ad servicelemme, som aldrig blev låst. Spionagen kan skaleres, fordi den samme lille vedligeholdelsesfejl gentager sig på tværs af tusindvis af netværk.