सुरक्षा सप्ताह 34: राउटर क्यों टूटते हैं

जब आपका कंप्यूटर एक क्रिप्टो-लॉकर से संक्रमित होता है, अगर ट्रोजन आपके पासवर्ड चुरा लेता है और स्कैमर्स मेल को हाइजैक कर लेता है, अगर क्रेडिट कार्ड की जानकारी फ़िशिंग द्वारा ले ली गई और पैसे वापस ले लिए गए, तो यह सब भयानक है, लेकिन कम से कम यह स्पष्ट है कि क्या हुआ और इससे कैसे निपटना है। एंटीवायरस ने मैक को साफ किया, बैकअप से डेटा को पुनर्स्थापित करें (यदि यह है, तो निश्चित रूप से), कार्ड को फिर से जारी करें। यह बहुत बुरा है अगर आप चुपचाप, ध्यान आकर्षित किए बिना, लंबे समय तक देखे गए।


आमतौर पर, इस तरह की धमकी सार्वजनिक व्यक्तियों, बड़ी कंपनियों के लिए प्रासंगिक है - सामान्य तौर पर, उन मामलों में जब आप वास्तव में मूल्यवान जानकारी के मालिक होते हैं। या न केवल: ऐसा लगता है कि मध्य-स्तरीय साइबर अपराधी भी साइबर जासूसी खेलने की कोशिश करने लगे हैं। चीनी 360 नेटलैब टीम के शोधकर्ता कम से कम 7,500 मिकरोटिक राउटरों की पहचान करने में सक्षम थे, जिन्हें हैक किया गया और उनके माध्यम से गुजरने वाले ट्रैफिक को साइबर क्रिमिनल सर्वर ( समाचार ) में भेजा गया। यह देखते हुए कि यह सामान्य रूप से और विशेष रूप से मिकरोटिक में राउटर पर हमलों के बारे में एकमात्र समाचार नहीं है, आज हम यह पता लगाने की कोशिश करेंगे कि क्या हुआ और इसके बारे में क्या करना है।

360 नेटलैब के विशेषज्ञों ने एक संपूर्ण अध्ययन किया । मिकरोटिक राउटर को खुले टीसीपी पोर्ट 8291 द्वारा मज़बूती से पहचाना जा सकता है - एक दूरस्थ WinBox कंप्यूटर से राउटर को नियंत्रित करने की एक उपयोगिता इसके साथ जुड़ी हुई है। जिस तरह से डिवाइस इस सॉफ़्टवेयर के लिए विशिष्ट कमांड का जवाब देता है, आप सही तरीके से पहचान सकते हैं कि यह एक राउटर है, न कि किसी कारण के लिए खुले एक ही पोर्ट के साथ कुछ डिवाइस। कुल मिलाकर, एक खुले बंदरगाह के साथ 1.2 मिलियन मिकरोटिक राउटर पाए गए, और यह बहुत कुछ है, यह देखते हुए कि बंदरगाह निश्चित रूप से बाहर से पहुंच के लिए बंद हो सकता है।

1.2 मिलियन राउटर में से, 370 हजार, या 30 प्रतिशत से थोड़ा अधिक, में सीवीई-2018-14847 है। यह भेद्यता इस साल अप्रैल में बंद हो गई थी। यहां आप एक कहानी पढ़ सकते हैं कि कैसे एक स्वतंत्र शोधकर्ता ने यह निर्धारित करने की कोशिश की कि क्या पैच किया गया था। संक्षेप में, भेद्यता विशेष प्राधिकरण के बिना राउटर से किसी भी फ़ाइल को दूर से पढ़ने की अनुमति देती है, जिसमें खराब संरक्षित एक्सेस पासवर्ड शामिल हैं (जो तब से बेहतर संरक्षित हैं)। GitHub पर अवधारणा के प्रमाण का वर्णन बताता है कि RouterOS फर्मवेयर संस्करणों 6.29–6.42 के साथ राउटर असुरक्षित हैं, यानी यह समस्या तीन साल से मौजूद है।


ग्रह पर कमजोर उपकरणों के वितरण का नक्शा इस तरह दिखता है। ब्राजील के बाद रूस दूसरे स्थान पर है, जिसमें 40 हज़ार अनरेडेड राउटर हैं। हमलावर भेद्यता का फायदा कैसे उठाते हैं? आप राउटर द्वारा उत्पन्न त्रुटि संदेश के साथ पृष्ठ पर उपयोगकर्ता ट्रैफ़िक पुनर्निर्देशित कर सकते हैं, और इस पृष्ठ पर कॉइनहाइव मुद्रा माइनर को लागू कर सकते हैं। विमुद्रीकरण की इस विधि को पहले से ही जाना जाता है (देखें संख्या 29 देखें), अगस्त में यह बताया गया था कि हमला मुख्य रूप से ब्राजील को प्रभावित करता है, और दो सौ हजार रूटर्स इसके अधीन थे। यह सच है कि चीन के शोधकर्ता स्पष्ट करते हैं कि योजना इतनी बदल गई। तथ्य यह है कि खनिक के लिए ठीक से काम करने के लिए, उसके पास एक बाहरी नेटवर्क तक पहुंच होनी चाहिए जो उपयोगकर्ताओं को त्रुटि पृष्ठ दिखाने वाली बहुत सेटिंग्स द्वारा अवरुद्ध हो।


और किसी भी मामले में, इस तरह के हमले का जल्दी पता लगाया जाएगा, क्योंकि इंटरनेट उपयोगकर्ताओं के बीच गिर जाएगा (हम बड़े संगठनों और छोटे प्रदाताओं के लिए डिज़ाइन किए गए राउटर्स के बारे में बात कर रहे हैं)। आप रूटर पर प्रॉक्सी सर्वर का उपयोग अधिक सुरुचिपूर्ण ढंग से कर सकते हैं: उदाहरण के लिए, नेटवर्क को स्कैन करने और संक्रमित डिवाइस पर अन्य राउटर पर हमला करने के कार्य को स्थानांतरित करें। कुल मिलाकर, शोधकर्ताओं ने 239 हजार राउटर पाए, जिस पर Socks4 प्रॉक्सी सक्रिय था, और यह चीनी विशेषज्ञों के अनुसार, स्पष्ट रूप से दुर्भावनापूर्ण इरादे के साथ, " सम्मान के बिना " किया गया था। बेशक, यह विकल्प केवल एक ही नहीं है, लेकिन एक प्रॉक्सी सर्वर के साथ राउटर की सेना क्या है, जिसके लिए उपयोग किया जाता है, केवल एक निश्चित (साइबर अपराधियों द्वारा नियंत्रित) से संभव है, यह ठीक से ज्ञात नहीं है।


लेकिन शोध का सबसे दिलचस्प पता यह है। मिकरोटिक राउटरओएस आपको एक निर्दिष्ट पते पर राउटर द्वारा संसाधित नेटवर्क पैकेट को पुनर्निर्देशित करने की अनुमति देता है। इस ट्रैफ़िक आउटपुट की सेटिंग ऊपर दिए गए स्क्रीनशॉट की तरह लग सकती है। तो, 360 नेटलैब के शोधकर्ताओं ने 7.5 हजार राउटरों की पहचान की है जो यह नहीं जानते हैं कि वे कौन से ट्रैफ़िक से गुजरते हैं। ठीक है, लगभग सभी: बंदरगाहों पर संचार 20, 21, 25, 110 और 143 पर आमतौर पर नजर रखी जाती है, ये एफ़टीपी प्रोटोकॉल और मेल एसएमटीपी और पीओपी 3 / आईएमएपी हैं। इसके अलावा, कुछ मामलों में, एसएनएमपी प्रोटोकॉल के साथ जुड़े 161 और 162 बंदरगाहों की निगरानी की गई थी, लेकिन इसका उपयोग क्यों किया जाता है यह स्पष्ट नहीं है। बंदरगाहों की सूची सबसे अधिक संक्रमित राउटर्स पर पाई जाने वाली सेटिंग्स के लिए प्रासंगिक है। कुछ बंदरगाहों की निगरानी अन्य बंदरगाहों के लिए भी की गई थी, उदाहरण के लिए, 80 (यानी, सभी अनएन्क्रिप्टेड वेब ट्रैफ़िक) और 8080।

और ट्रैफिक चुराने वाले राउटर्स की सूची में रूस पहले स्थान पर 1,628 संक्रमित राउटर्स के साथ दूसरे और तीसरे स्थान पर ईरान और ब्राजील है। ट्रैफ़िक को पुनर्निर्देशित क्यों किया जाता है, इसके आगे क्या होता है - कोई केवल अनुमान लगा सकता है। मुझे लगता है कि अंतरविरोध का उद्देश्य किसी के बॉटनेट में शामिल किए जाने वाले नए पीड़ितों की खोज, और वैज्ञानिक अनुसंधान जैसी कुछ चीजें हैं। बहुत से लोग अब इस बारे में चिंतित हैं कि इंटरनेट पर डेटा सेवा प्रदाता हमारे उत्पादों को "बेहतर" करने के लिए हमारे बारे में कितना इकट्ठा करते हैं। तथ्य यह है कि अपराध हमारे बारे में जानकारी एकत्र करता है ताकि बाद में हम पर हमला करना बेहतर हो और अधिक खतरनाक हो।

क्या करें? यह स्पष्ट है कि अभी क्या करने की आवश्यकता है: राउटर को अपडेट करें । कमजोरियाँ जल्द ही छह महीने हो जाएंगी, यह समय पहले से ही है। फिर बाहर से पहुंच बंद करने के उद्देश्य से कॉन्फ़िगरेशन का विश्लेषण करना अच्छा होगा - यह सभी मामलों में आवश्यक से दूर है। सामान्य रूप से क्या करना है और किसे दोष देना है? इस भेद्यता के लिए अवधारणा के प्रमाण के लेखक ने "उद्यम में मिकरोटीक का उपयोग न करें" जैसे शब्दों के साथ अपने मिनी-अध्ययन को संक्षेप में प्रस्तुत किया है। लेकिन यह एक ऐसा मृत अंत है: "आह, डरावनी, हमने एक भयानक भेद्यता पाई, उन्हें फिर से कभी नहीं खरीदें।" जैसे कि अन्य राउटर के साथ, स्थिति बेहतर है। मई में , एक शक्तिशाली बोटनेट को कथित तौर पर 500 हजार उपकरणों के वीपीएनफिल्टर हमले से इकट्ठा किया गया था , जहां मिकरोटिक उपकरण पाए गए थे, साथ ही लिंकसीस, नेटगियर और टीपी-लिंक भी।

रूस में, मिकरोटिक राउटर का उपयोग अक्सर छोटे और मध्यम आकार के व्यवसायों में किया जाता है, जहां वे आने वाले आईटी विशेषज्ञ या कुछ मालिक-कर्मचारियों द्वारा कॉन्फ़िगर किए जाते हैं, और फिर वे आमतौर पर उनके बारे में भूल जाते हैं: एक चीज या दूसरा, यह काम करता है - ठीक है पुराना फर्मवेयर डिवाइस के स्थिर संचालन का एक अप्रत्यक्ष संकेतक है। लेकिन यह पता चला है कि आपका राउटर चाहे जितना भी हो, उसे अपडेट करने की आवश्यकता है, इसे सबसे सुरक्षित सेटिंग्स के साथ कॉन्फ़िगर किया जाना चाहिए, यदि आवश्यक न हो तो बाहरी प्रबंधन इंटरफेस को डिस्कनेक्ट कर दें। सबसे अधिक संभावना है, एक बाहरी विशेषज्ञ की भागीदारी के साथ। सुरक्षा कभी भी मुक्त नहीं है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं। और वैसे, यह अपने अस्तित्व के सात वर्षों के लिए हैबे पर लैब ब्लॉग पर 300 वीं पोस्ट है। जिसके साथ हम दोनों आपको और हमें बधाई देते हैं।