FSB angriper europeiska routrar

I många fastigheter står en router i ett skåp sedan flera år. Den fungerar, därför rör ingen den. Mjukvaran har inte uppdaterats och lösenordet kan fortfarande vara samma som när utrustningen levererades. För rysk underrättelsetjänst är just den sortens osynlig infrastruktur användbar.

I en gemensam varning pekar NSA, FBI och underrättelsemyndigheter från minst åtta europeiska länder ut den ryska FSB-enheten Center 16 som ansvarig för systematiskt utnyttjande av sådana bortglömda enheter (CISA). I gruppen ingår bland andra Frankrike, Italien, Polen, Sverige, Finland, Estland, Danmark och Tjeckien (NCSC NZ). Varningen behandlar bristande routerhygien som en gemensam västlig sårbarhet.

Så lämnar byggnadens planritning nätverket

Många routrar har fortfarande äldre fjärradministration aktiverad, alltså funktioner som gör det möjligt att sköta utrustningen över ett nätverk. Tekniken kallas SNMP. De första versionerna togs fram för flera decennier sedan och har mycket svagt skydd. ”Lösenordet” är ofta en kort textsträng som aldrig ändrats från fabriksinställningen: bokstavligen ”public” eller ”private”. Den som skannar internet kan gissa det (CISA).

När angriparen väl kommer in kan routern instrueras att kopiera sin egen konfigurationsfil och skicka den till en server som angriparen kontrollerar (NSA). Den filen fungerar som routerns anteckningsbok: vilka enheter som finns i nätverket, hur trafiken leds mellan dem och ibland var åtkomstuppgifter ligger. Resultatet blir en intern karta över organisationen och ofta nycklar för att ta sig vidare.

I praktiken handlar det om att pröva dörrar tills en står öppen, kopiera planritningen, läsa den interna telefonlistan och se var nycklarna förvaras. Finlands cybersäkerhetscenter formulerar risken konkret: svagt skyddade nätverksenheter öppnar en väg för cyberattacker, och organisationer bör inte låta fjärradministration vara synlig mot det öppna internet (Kyberturvallisuuskeskus).

Europas ekonomiska ryggrad står exponerad

Varningen nämner flera målsektorer: kommunikation, energi, finansiella tjänster, offentlig förvaltning, försvarsindustri och sjukvård (CISA). Det är i praktiken grundstrukturen i varje europeisk ekonomi.

Tysk rapportering lyfter fram obalansen: routrar och annan gränsutrustning, alltså tekniken mellan en organisation och det öppna internet, övervakas ofta sämre än servrar och datorer. Ändå räcker en enda felaktig inställning för att en angripare ska kunna börja kartlägga ett nätverk (Handelsblatt, cyberdeutsch.news). De italienska underrättelsetjänsterna AISE och AISI har undertecknat varningen (Decode39). Den finländska säkerhetspolisen Supo har samtidigt utfärdat en nationell varning till företag och kritiska sektorer (Supo).

Risken stannar inte hos den första drabbade. En kapad router kan användas som mellanled för senare attacker. Trafiken ser då ut att komma från ett betrott europeiskt företag, inte från angriparen. Det gör närvaron svårare att upptäcka och försvårar för varje partner och leverantör längre ut i kedjan (AttackIQ).

Åtgärderna är enkla, och det är problemet

De rekommenderade skydden är medvetet odramatiska: stäng av äldre SNMP-versioner, gå över till SNMPv3 med riktig autentisering, byt standardlösenord, begränsa fjärradministration till kända nätverk, uppdatera mjukvara och ersätt utrustning som inte längre får säkerhetsuppdateringar (NSA). Finlands cybersäkerhetscenter lägger till att loggar bör samlas in och sparas i sex till tjugofyra månader (Kyberturvallisuuskeskus).

Allt på listan kan göras av en IT-avdelning utan ny lagstiftning eller särskilda underrättelser. Bristen ligger i prioriteringen, inte i kunskapen. Ett sjukhus eller en kommun kan ha god säkerhet på datorer och användarkonton, samtidigt som en router på ett lokalkontor fortfarande använder lösenordet den levererades med 2018.

Det är detta mönster som myndigheter i ett tjugotal länder nu varnar för. Rysk statlig underrättelseverksamhet tar sig inte alltid igenom avancerade försvar. Ofta räcker det att gå in genom serviceingångar som aldrig låstes. Spionaget kan skalas upp därför att samma lilla underhållsbrist återkommer i tusentals nätverk.