FSB atacă routere europene neactualizate

În multe clădiri există un router uitat într-un dulap tehnic. A fost instalat cu ani în urmă, rulează un firmware pe care nu l-a mai actualizat nimeni și acceptă încă parola din fabrică. Funcționează, deci nu îl atinge nimeni. Tocmai această invizibilitate îl face util pentru serviciile ruse de informații.

O alertă comună publicată luna aceasta de NSA, FBI și servicii de informații din cel puțin opt țări europene indică explicit o unitate rusă, FSB Center 16, drept responsabilă pentru exploatarea sistematică a acestor echipamente uitate (CISA). Coaliția include Franța, Italia, Polonia, Suedia, Finlanda, Estonia, Danemarca și Cehia (NCSC NZ). Avertismentul este multinațional și tratează igiena routerelor ca pe o vulnerabilitate comună a infrastructurii occidentale.

Cum pleacă planul clădirii pe ușa din spate

Multe routere au încă activată o funcție veche de administrare de la distanță, care le permite tehnicienilor să gestioneze echipamentele prin rețea. Inginerii o numesc SNMP. Primele versiuni ale acestui protocol, concepute acum câteva decenii, au un nivel de securitate aproape inexistent. „Parola” este un șir scurt de text, lăsat adesea la valoarea din fabrică: chiar cuvintele „public” sau „private”. Oricine scanează internetul le poate ghici (CISA).

După ce obține acces, atacatorul îi cere routerului să copieze propriul fișier de configurare și să îl trimită către un server controlat de el (NSA). Acel fișier funcționează ca un carnet tehnic al rețelei: arată ce dispozitive există, cum circulă traficul între ele și, uneori, unde sunt păstrate datele de acces. Atacatorul primește astfel o hartă internă a organizației și, în multe cazuri, chei pentru a avansa mai adânc în sistem.

Mecanismul este simplu: cineva încearcă uși până găsește una descuiată, copiază planul clădirii, citește lista internă de telefoane și vede unde sunt ținute cheile. Centrul finlandez de securitate cibernetică a formulat problema în termeni practici: echipamentele de rețea slab protejate deschid o cale pentru atacuri cibernetice, iar organizațiile nu ar trebui să lase aceste panouri de administrare vizibile din internetul public (Kyberturvallisuuskeskus).

Coloana vertebrală a economiilor europene, expusă

Alerta enumeră sectoarele vizate: comunicații, energie, servicii financiare, administrație, industria de apărare și sănătate (CISA). Lista descrie, în practică, infrastructura de bază a oricărei economii europene.

Presa germană a subliniat asimetria problemei: routerele și alte echipamente de margine, aflate între o organizație și internetul deschis, sunt monitorizate mai puțin atent decât serverele sau laptopurile, deși o singură configurare greșită poate fi suficientă pentru ca un atacator să înceapă cartografierea unei rețele (Handelsblatt, cyberdeutsch.news). Serviciile italiene de informații AISE și AISI au cosemnat alerta (Decode39). În Finlanda, serviciul de informații Supo a emis un avertisment național paralel pentru companii și sectoare critice (Supo).

Riscul nu se oprește la prima victimă. Un router compromis poate deveni o adresă de redirecționare pentru atacator: traficul ostil ulterior trece prin rețeaua victimei și pare să provină de la o firmă europeană de încredere. Prezența atacatorului este astfel mascată, iar detectarea devine mai dificilă pentru fiecare partener și furnizor din lanț (AttackIQ).

Soluția este banală, iar aceasta este problema

Măsurile recomandate sunt intenționat lipsite de spectaculozitate: dezactivarea versiunilor vechi de SNMP, trecerea la SNMPv3, care cere autentificare reală, schimbarea parolelor implicite, limitarea administrării de la distanță la rețele cunoscute, actualizarea firmware-ului și înlocuirea echipamentelor care nu mai primesc patch-uri (NSA). Centrul finlandez de securitate cibernetică a adăugat o recomandare operațională: colectarea și păstrarea jurnalelor tehnice între șase și douăzeci și patru de luni (Kyberturvallisuuskeskus).

Fiecare element de pe această listă poate fi făcut acum de o echipă IT, fără o nouă reglementare și fără informări clasificate. Deficitul este de prioritate, nu de cunoaștere. Un spital sau o primărie poate avea securitate bună pe laptopuri, în timp ce routerul unei filiale păstrează parola cu care a fost livrat în 2018.

Acesta este tiparul asupra căruia avertizează douăzeci de țări. Serviciile ruse de informații nu trec prin apărări sofisticate, ci folosesc trape de mentenanță care nu au fost încuiate niciodată. Spionajul se extinde pentru că aceeași mică neglijență tehnică se repetă în mii de rețele.