FSB zneužíva heslá na routeroch

Niekde v budove stojí v skrini router. Namontovali ho pred rokmi, beží na firmvéri, ktorý už nikto neaktualizoval, a stále prijíma pôvodné továrenské heslo. Funguje, preto sa ho nik nedotýka. Práve táto neviditeľnosť z neho robí užitočný nástroj pre ruské spravodajské služby.

Spoločné varovanie, ktoré tento mesiac zverejnili NSA, FBI a spravodajské služby najmenej ôsmich európskych krajín, označilo za systematické zneužívanie takýchto zabudnutých zariadení konkrétnu ruskú jednotku: Centrum 16 Federálnej bezpečnostnej služby, teda FSB (CISA). Do koalície patria Francúzsko, Taliansko, Poľsko, Švédsko, Fínsko, Estónsko, Dánsko a Česko (NCSC NZ). Varovanie je mnohonárodné a bezpečnosť routerov opisuje ako spoločnú slabinu Západu.

Ako z budovy odíde plán poschodí

Mnohé routery majú stále zapnutú starú funkciu vzdialenej správy, ktorá administrátorom umožňuje riadiť zariadenie cez sieť. Technici ju poznajú ako SNMP. Jej pôvodné verzie vznikli pred desaťročiami a bezpečnosť v nich bola minimálna. „Heslom“ je krátky textový reťazec, často ponechaný v továrenskom nastavení: doslova slovo „public“ alebo „private“. Kto skenuje internet, vie ho uhádnuť (CISA).

Keď sa útočník dostane dnu, prikáže routeru, aby skopíroval vlastný konfiguračný súbor a poslal ho na server pod jeho kontrolou (NSA). Tento súbor funguje ako zápisník routera: ukazuje, aké zariadenia sú v sieti, kadiaľ prúdi prevádzka a niekedy aj kde sú uložené prístupové údaje. Útočník tak získa vnútornú mapu organizácie a často aj kľúče, s ktorými sa vie posunúť hlbšie.

V praxi to vyzerá tak, že špión skúša dvere, kým nenájde odomknuté, odkopíruje si plán budovy, prečíta interný telefónny zoznam a všimne si, kde ležia kľúče. Fínske kyberbezpečnostné centrum to pomenovalo priamo: slabo chránené sieťové zariadenia otvárajú cestu ku kyberútokom a organizácie by nemali nechávať takéto panely vzdialenej správy viditeľné z verejného internetu (Kyberturvallisuuskeskus).

Odhalená chrbtica európskych ekonomík

Varovanie menuje cieľové sektory: komunikácie, energetiku, finančné služby, verejnú správu, obranný priemysel a zdravotníctvo (CISA). Inými slovami, základnú infraštruktúru každej európskej ekonomiky.

Nemecké pokrytie zdôraznilo asymetriu problému: routery a podobné hraničné zariadenia, teda technika medzi organizáciou a otvoreným internetom, bývajú pod slabším dohľadom než servery alebo notebooky. Pritom stačí jedna chybná konfigurácia a útočník môže začať mapovať sieť (Handelsblatt, cyberdeutsch.news). Talianske spravodajské služby AISE a AISI varovanie spolupodpísali (Decode39). Fínska spravodajská služba Supo vydala paralelné národné upozornenie pre firmy a kritické sektory (Supo).

Riziko sa nekončí pri prvej obeti. Kompromitovaný router sa môže stať preposielacou adresou útočníka: neskoršia nepriateľská prevádzka ide cez sieť obete, takže vyzerá, akoby prichádzala od dôveryhodnej európskej firmy. Útočník si tým maskuje prítomnosť a sťažuje odhalenie každému partnerovi a dodávateľovi v reťazci (AttackIQ).

Oprava je nudná, a práve to je problém

Odporúčané opatrenia sú zámerne nevýrazné: vypnúť staré verzie SNMP, prejsť na SNMPv3, ktoré vyžaduje skutočné overenie identity, zmeniť predvolené heslá, obmedziť vzdialenú správu na známe siete, aktualizovať firmvér a vymeniť zariadenia, ktoré už nedostávajú bezpečnostné záplaty (NSA). Fínske kyberbezpečnostné centrum doplnilo aj uchovávanie záznamov o prevádzke počas šiestich až dvadsiatich štyroch mesiacov (Kyberturvallisuuskeskus).

Každý bod na tomto zozname môže IT tím urobiť hneď, bez novej regulácie či ďalších spravodajských brífingov. Chýba skôr priorita než poznanie. Nemocnica alebo mestský úrad môžu mať dobre zabezpečené notebooky, zatiaľ čo router v pobočke stále používa heslo, s ktorým prišiel z výroby v roku 2018.

Presne pred týmto vzorcom dnes varuje dvadsať krajín. Ruská štátna rozviedka neprelamuje pokročilú obranu. Vchádza cez servisné prístupy, ktoré nikto nezamkol. Špionáž sa dá škálovať preto, že tá istá malá údržbová chyba sa opakuje v tisícoch sietí.