FSB kraakt Europese routers

Ergens in een meterkast of serverruimte staat een router die niemand meer ziet. Jaren geleden geïnstalleerd, firmware nooit bijgewerkt, fabriekswachtwoord nog actief. Het apparaat doet wat het moet doen, dus blijft iedereen eraf. Juist die onzichtbaarheid maakt het interessant voor de Russische inlichtingendienst.

In een gezamenlijke waarschuwing van deze maand wijzen de NSA, de FBI en inlichtingendiensten uit minstens acht Europese landen één Russische eenheid aan: FSB Center 16. Die zou systematisch misbruik maken van dit soort vergeten netwerkapparatuur (CISA). De coalitie bestaat onder meer uit Frankrijk, Italië, Polen, Zweden, Finland, Estland, Denemarken en Tsjechië (NCSC NZ). De waarschuwing is daarmee niet alleen technisch, maar ook politiek: slechte routerhygiëne geldt inmiddels als een gedeelde kwetsbaarheid van het Westen.

Hoe de plattegrond van het gebouw naar buiten loopt

Veel routers hebben nog altijd een oude functie voor beheer op afstand aanstaan. Daarmee kunnen beheerders netwerkapparatuur bedienen zonder fysiek bij het apparaat te zijn. In vaktaal heet dat SNMP. De oorspronkelijke versies daarvan, decennia geleden ontworpen, bieden nauwelijks beveiliging. Het "wachtwoord" is vaak niet meer dan een korte tekststring, geregeld nog de fabrieksinstelling: letterlijk "public" of "private". Wie het internet afspeurt, kan dat gewoon proberen (CISA).

Na binnenkomst kan een aanvaller de router opdracht geven zijn eigen configuratiebestand te kopiëren en door te sturen naar een server onder controle van de aanvaller (NSA). Dat bestand is in feite het notitieboek van de router: welke apparaten op het netwerk zitten, hoe verkeer tussen die apparaten loopt en soms ook waar toegangsgegevens zijn opgeslagen. De aanvaller krijgt zo een interne kaart van de organisatie, en vaak ook de sleutels om verder door te bewegen.

Het mechanisme is banaal. Een spion probeert deuren totdat er één open is, kopieert de plattegrond van het gebouw, leest de interne telefoonlijst en ziet waar de sleutels hangen. Het Finse cybersecuritycentrum formuleerde het praktischer: zwak beveiligde netwerkapparaten openen een route voor cyberaanvallen, en organisaties moeten zulke beheerpanelen niet zichtbaar laten voor het publieke internet (Kyberturvallisuuskeskus).

De ruggengraat van Europese economieën ligt open

De waarschuwing noemt de doelwitten: communicatie, energie, financiële dienstverlening, overheid, defensie-industrie en zorg (CISA). Dat is in grote lijnen de ruggengraat van elke Europese economie.

Duitse berichtgeving wees op de scheve aandacht: routers en vergelijkbare randapparatuur, de apparaten tussen een organisatie en het open internet, worden minder scherp bewaakt dan servers of laptops. Toch is één verkeerde instelling al genoeg om een aanvaller te laten beginnen met het in kaart brengen van een netwerk (Handelsblatt, cyberdeutsch.news). De Italiaanse inlichtingendiensten AISE en AISI ondertekenden de waarschuwing mee (Decode39). De Finse dienst Supo bracht daarnaast een nationale waarschuwing uit voor bedrijven en vitale sectoren (Supo).

Het risico houdt overigens niet op bij het eerste slachtoffer. Een gekaapte router kan als doorgeefadres dienen voor de aanvaller. Later kwaadaardig verkeer loopt dan via het netwerk van het slachtoffer, waardoor het lijkt alsof het afkomstig is van een vertrouwd Europees bedrijf. Zo wordt de aanwezigheid van de aanvaller witgewassen en wordt detectie moeilijker voor elke partner en leverancier in de keten (AttackIQ).

De oplossing is saai, en dat is precies het probleem

De aanbevolen maatregelen zijn bewust weinig spectaculair: schakel oude SNMP-versies uit, stap over op SNMPv3, waarvoor echte authenticatie nodig is, verander standaardwachtwoorden, beperk beheer op afstand tot bekende netwerken, werk firmware bij en vervang apparaten waarvoor geen patches meer verschijnen (NSA). Het Finse cybersecuritycentrum voegde daaraan toe: verzamel logbestanden en bewaar die zes tot vierentwintig maanden (Kyberturvallisuuskeskus).

Alles op die lijst kan een IT-afdeling nu al doen, zonder nieuwe wetgeving of extra inlichtingenbriefings. Het tekort zit niet in kennis, maar in prioriteit. Een ziekenhuis of gemeente kan de beveiliging van laptops uitstekend op orde hebben, terwijl een router in een bijkantoor nog steeds draait met het wachtwoord waarmee hij in 2018 uit de doos kwam.

Dat is het patroon waarvoor twintig landen nu waarschuwen. Russische staatsinlichtingen breken niet door geavanceerde verdedigingslagen heen. Ze lopen door onderhoudsluiken die nooit op slot zijn gedaan. De spionage schaalt omdat dezelfde kleine onderhoudsfout zich in duizenden netwerken herhaalt.