FSB probija nezaštićene europske usmjerivače

Negdje u zgradi, u ormariću ili tehničkoj prostoriji, stoji usmjerivač. Postavljen je prije nekoliko godina, radi na programskoj podršci koju nitko nije ažurirao i još prihvaća tvorničku lozinku. Budući da „radi”, nitko ga ne dira. Upravo ga ta nevidljivost čini korisnim za ruske obavještajne službe.

Zajedničko upozorenje koje su ovoga mjeseca objavili NSA, FBI i obavještajne službe najmanje osam europskih zemalja izričito navodi rusku jedinicu FSB Center 16 kao aktera koji sustavno iskorištava takve zanemarene uređaje (CISA). U toj su skupini Francuska, Italija, Poljska, Švedska, Finska, Estonija, Danska i Češka (NCSC NZ). Poruka nije samo tehnička, nego politička: higijena usmjerivača postala je zajednička zapadna ranjivost.

Kako tlocrt zgrade izlazi kroz vrata

Mnogi usmjerivači još imaju uključenu staru funkciju udaljenog upravljanja, namijenjenu administratorima koji opremu nadziru preko mreže. Inženjeri je zovu SNMP. Prve inačice tog protokola, osmišljene prije više desetljeća, gotovo da nemaju stvarnu zaštitu. „Lozinka” je kratki tekstualni niz, često ostavljen na tvorničkoj postavci: doslovno riječ „public” ili „private”. Svatko tko pretražuje internet može je pogoditi (CISA).

Nakon ulaska napadač može naložiti usmjerivaču da kopira vlastitu konfiguracijsku datoteku i pošalje je na poslužitelj pod njegovom kontrolom (NSA). Ta je datoteka bilježnica uređaja: pokazuje koji se uređaji nalaze na mreži, kako promet prolazi između njih i, u nekim slučajevima, gdje su pohranjene pristupne vjerodajnice. Napadač tako dobiva unutarnju kartu organizacije, a često i početne ključeve za dublji prodor.

U praksi to izgleda kao da špijun obilazi vrata dok ne nađe jedna otključana, kopira tlocrt zgrade, pročita interni telefonski imenik i vidi gdje se drže ključevi. Finski centar za kibernetičku sigurnost opisao je rizik jednako izravno: slabo zaštićeni mrežni uređaji otvaraju put kibernetičkim napadima, a organizacije ne bi smjele ostavljati takve upravljačke ploče izložene javnom internetu (Kyberturvallisuuskeskus).

Izložena okosnica europskih gospodarstava

Upozorenje navodi sektore koji su bili meta: komunikacije, energetiku, financijske usluge, državnu upravu, obrambenu industrijsku bazu i zdravstvo (CISA). To je, u osnovi, popis infrastrukture na kojoj počiva svako europsko gospodarstvo.

Njemački su mediji naglasili neravnotežu u nadzoru: usmjerivači i slični granični uređaji, dakle oprema koja stoji između organizacije i otvorenog interneta, često se prate slabije od poslužitelja ili prijenosnih računala. Dovoljna je jedna pogrešna postavka da napadač počne mapirati mrežu (Handelsblatt, cyberdeutsch.news). Talijanske obavještajne službe AISE i AISI supotpisale su upozorenje (Decode39), dok je finska služba Supo izdala zasebno nacionalno upozorenje za poduzeća i kritične sektore (Supo).

Rizik se ne zaustavlja na prvoj žrtvi. Kompromitirani usmjerivač može postati posrednička adresa napadača: kasniji neprijateljski promet prolazi kroz mrežu žrtve i izgleda kao da dolazi od pouzdane europske tvrtke. Time se prikriva prisutnost napadača i otežava otkrivanje napada kod svakog partnera i dobavljača u lancu (AttackIQ).

Rješenje je dosadno, i u tome je problem

Preporučene mjere namjerno su neatraktivne: isključiti stare inačice SNMP-a, prijeći na SNMPv3, koji traži stvarnu provjeru identiteta, promijeniti tvorničke lozinke, ograničiti udaljeno upravljanje na poznate mreže, ažurirati programsku podršku i zamijeniti uređaje koji više ne dobivaju sigurnosne zakrpe (NSA). Finski centar za kibernetičku sigurnost dodao je još jednu obvezu: prikupljati i čuvati zapise sustava od šest do dvadeset četiri mjeseca (Kyberturvallisuuskeskus).

Sve s tog popisa informatički tim može napraviti odmah, bez nove uredbe ili povjerljivog obavještajnog brifinga. Problem nije neznanje, nego redoslijed prioriteta. Bolnica ili općinska uprava mogu imati pristojno uređenu zaštitu prijenosnih računala, dok usmjerivač u izdvojenom uredu i dalje nosi lozinku s kojom je isporučen 2018.

To je obrazac na koji upozorava dvadesetak država. Ruska državna obavještajna služba ne mora probijati napredne obrambene sustave ako može ući kroz servisne prolaze koji nikada nisu zaključani. Špijunaža se širi zato što se isti mali propust u održavanju ponavlja na tisućama mreža.