Η FSB χτυπά ευρωπαϊκά routers

Κάπου σε μια ντουλάπα, σε ένα γραφείο, σε ένα υποκατάστημα ή σε έναν όροφο πολυκατοικίας, υπάρχει ένας router που εγκαταστάθηκε πριν από χρόνια. Λειτουργεί με λογισμικό που κανείς δεν έχει αναβαθμίσει, δέχεται ακόμη τον εργοστασιακό κωδικό πρόσβασης και, επειδή δεν δημιουργεί εμφανές πρόβλημα, κανείς δεν ασχολείται μαζί του. Αυτή ακριβώς η αορατότητα τον κάνει χρήσιμο για τις ρωσικές υπηρεσίες πληροφοριών.

Κοινή προειδοποίηση που δημοσιεύθηκε αυτόν τον μήνα από την NSA, το FBI και υπηρεσίες πληροφοριών τουλάχιστον οκτώ ευρωπαϊκών χωρών κατονομάζει συγκεκριμένη ρωσική μονάδα, το Κέντρο 16 της FSB, ως υπεύθυνη για τη συστηματική εκμετάλλευση αυτών των ξεχασμένων συσκευών (CISA). Στον συνασπισμό μετέχουν η Γαλλία, η Ιταλία, η Πολωνία, η Σουηδία, η Φινλανδία, η Εσθονία, η Δανία και η Τσεχία (NCSC NZ). Η προειδοποίηση δεν αφορά ένα μεμονωμένο περιστατικό κυβερνοασφάλειας, αλλά μια κοινή δυτική αδυναμία: τη βασική υγιεινή των routers.

Πώς βγαίνει από την πόρτα το σχέδιο του κτιρίου

Πολλοί routers εξακολουθούν να έχουν ενεργοποιημένη μια παλιά λειτουργία απομακρυσμένης διαχείρισης, η οποία επιτρέπει στους διαχειριστές να ελέγχουν εξοπλισμό μέσα από το δίκτυο. Οι μηχανικοί την ονομάζουν SNMP. Οι αρχικές εκδόσεις της, σχεδιασμένες πριν από δεκαετίες, έχουν ελάχιστη ασφάλεια. Ο «κωδικός» είναι μια σύντομη συμβολοσειρά, που συχνά παραμένει στην εργοστασιακή ρύθμιση: κυριολεκτικά η λέξη «public» ή «private». Όποιος σαρώνει το διαδίκτυο μπορεί να τη μαντέψει (CISA).

Μόλις αποκτήσει πρόσβαση, ο επιτιθέμενος δίνει εντολή στον router να αντιγράψει το αρχείο ρυθμίσεών του και να το στείλει σε διακομιστή που ελέγχει ο ίδιος (NSA). Το αρχείο αυτό λειτουργεί σαν το σημειωματάριο της συσκευής: ποια μηχανήματα υπάρχουν στο δίκτυο, πώς κινείται η κίνηση ανάμεσά τους και, σε ορισμένες περιπτώσεις, πού βρίσκονται αποθηκευμένα διαπιστευτήρια πρόσβασης. Ο δράστης αποκτά εσωτερικό χάρτη του οργανισμού και, συχνά, τα μέσα για να προχωρήσει βαθύτερα.

Η εικόνα είναι απλή: ένας κατάσκοπος δοκιμάζει πόρτες μέχρι να βρει μία ξεκλείδωτη, φωτοτυπεί την κάτοψη του κτιρίου, διαβάζει τον εσωτερικό τηλεφωνικό κατάλογο και εντοπίζει πού φυλάσσονται τα κλειδιά. Το φινλανδικό κέντρο κυβερνοασφάλειας το διατύπωσε πρακτικά: οι ασθενώς προστατευμένες δικτυακές συσκευές ανοίγουν δρόμο για κυβερνοεπιθέσεις και οι οργανισμοί δεν πρέπει να αφήνουν αυτά τα πάνελ απομακρυσμένης διαχείρισης ορατά στο δημόσιο διαδίκτυο (Kyberturvallisuuskeskus).

Εκτεθειμένη η ραχοκοκαλιά των ευρωπαϊκών οικονομιών

Η προειδοποίηση απαριθμεί τους κλάδους που στοχοποιούνται: επικοινωνίες, ενέργεια, χρηματοπιστωτικές υπηρεσίες, κυβέρνηση, αμυντική βιομηχανική βάση και υγεία (CISA). Πρόκειται ουσιαστικά για τη ραχοκοκαλιά κάθε ευρωπαϊκής οικονομίας.

Η γερμανική κάλυψη ανέδειξε την ασυμμετρία του κινδύνου: οι routers και οι αντίστοιχες συσκευές περιμέτρου, δηλαδή ο εξοπλισμός που βρίσκεται ανάμεσα σε έναν οργανισμό και το ανοιχτό διαδίκτυο, παρακολουθούνται λιγότερο προσεκτικά από τους διακομιστές ή τους φορητούς υπολογιστές, παρότι μία λανθασμένη ρύθμιση αρκεί για να αρχίσει ο επιτιθέμενος τη χαρτογράφηση ενός δικτύου (Handelsblatt, cyberdeutsch.news). Οι ιταλικές υπηρεσίες πληροφοριών AISE και AISI συνυπέγραψαν την προειδοποίηση (Decode39). Η φινλανδική Supo εξέδωσε παράλληλη εθνική προειδοποίηση για εταιρείες και κρίσιμους τομείς (Supo).

Ο κίνδυνος δεν σταματά στο πρώτο θύμα. Ένας παραβιασμένος router μπορεί να μετατραπεί σε ενδιάμεση διεύθυνση προώθησης για τον επιτιθέμενο: μεταγενέστερη εχθρική κίνηση περνά μέσα από το δίκτυο του θύματος, ώστε να φαίνεται πως προέρχεται από μια αξιόπιστη ευρωπαϊκή επιχείρηση. Έτσι «ξεπλένεται» η παρουσία του δράστη και δυσκολεύει ο εντοπισμός της επίθεσης για κάθε συνεργάτη και προμηθευτή στην αλυσίδα (AttackIQ).

Η λύση είναι βαρετή, και αυτό είναι το πρόβλημα

Τα προτεινόμενα μέτρα άμυνας είναι επίτηδες πεζά: απενεργοποίηση των παλιών εκδόσεων του SNMP, μετάβαση στο SNMPv3, το οποίο απαιτεί πραγματική πιστοποίηση, αλλαγή των προεπιλεγμένων κωδικών, περιορισμός της απομακρυσμένης διαχείρισης σε γνωστά δίκτυα, αναβάθμιση του firmware και αντικατάσταση συσκευών που δεν λαμβάνουν πλέον διορθώσεις ασφαλείας (NSA). Το φινλανδικό κέντρο κυβερνοασφάλειας πρόσθεσε και τη συλλογή και διατήρηση αρχείων καταγραφής για έξι έως είκοσι τέσσερις μήνες (Kyberturvallisuuskeskus).

Κάθε σημείο αυτής της λίστας μπορεί να το εφαρμόσει σήμερα μια ομάδα πληροφορικής, χωρίς νέο κανονισμό και χωρίς ειδική ενημέρωση από υπηρεσίες πληροφοριών. Το κενό βρίσκεται στην προτεραιοποίηση, όχι στη γνώση. Ένα νοσοκομείο ή ένας δήμος μπορεί να έχει σοβαρή προστασία στους φορητούς υπολογιστές του, ενώ ο router ενός απομακρυσμένου γραφείου εξακολουθεί να χρησιμοποιεί τον κωδικό με τον οποίο παραδόθηκε το 2018.

Αυτό είναι το μοτίβο για το οποίο προειδοποιούν είκοσι χώρες. Η ρωσική κρατική υπηρεσία πληροφοριών δεν χρειάζεται πάντα να διαπερνά προηγμένες άμυνες. Εκμεταλλεύεται θυρίδες συντήρησης που δεν κλειδώθηκαν ποτέ. Η κατασκοπεία αποκτά κλίμακα επειδή η ίδια μικρή παράλειψη επαναλαμβάνεται σε χιλιάδες δίκτυα.