1,2 mln trefnych routerów w Polsce. Mogą cię okraść. Są już pierwsze ofiary
Problem jest bardzo poważny. Tylko w Polsce podatnych na atak może być grubo ponad milion urządzeń sieciowych, a pierwsze ofiary zaczęły już zgłaszać oszustwa.
Problem dotyczy routerów korzystających z oprogramowania ZyNOS firmy ZyXEL. W oparciu o takie oprogramowanie działa kilka modeli bardzo popularnych w naszym kraju routerów różnych marek, w tym TP-Link. Jeśli router jest skonfigurowany w taki sposób, że można uzyskać do niego dostęp z internetu, automatycznie stajemy się łatwym celem ataku. Nawet jeśli zmienimy domyślną nazwę użytkownika oraz hasło, możliwe jest jego odczytanie z pliku konfiguracyjnego routera. Przez niedopatrzenie w oprogramowaniu dostęp do strony konfiguracyjnej w tym zakresie można uzyskać bez podawania jakichkolwiek danych autoryzacyjnych - wystarczy znać globalny adres IP urządzenia ofiary oraz adres odpowiedniej podstrony.
Przestępcom zadanie mogą ułatwić wyszukiwarki, które pozwalają odnaleźć w internecie adresy IP routerów. Za ich pomocą można zawęzić nawet wyniki wyszukiwania np. do wybranego kraju. Atak jest na tyle prosty do przeprowadzenia, że dostanie się na stronę konfiguracyjną wytypowanego routera nie powinno przysporzyć problemu nawet początkującemu użytkownikowi internetu. Kiedy to zrobi wystarczy, że pobierze plik z zapisaną konfiguracją urządzenia, a następnie odkoduje go specjalnym narzędziem, które pozwoli odczytać m.in. login i hasło administratora dające pełny dostęp do konfiguracji sprzętu i sieci.
Szacuje się, że tylko w Polsce podatnych na tego typu atak może być ponad 1,2 mln routerów. Wśród nich znajdują się m.in. niektóre urządzenia TP-Link, D-Link, AirLive, Pentagram czy ZTE. Co ciekawe, problem dotyczący opisywanej dziury w firmware routerów został odkryty już pod koniec 200. roku, ale do tej pory w wielu urządzeniach nie został jeszcze rozwiązany. Problem stanowią również aktualizacje oprogramowania routerów, które nie dokonują się automatycznie, a większość użytkowników zwyczajnie tego nie robi.
Jakie mogą być konsekwencje ataku?
Jeśli cyberprzestępca uzyska dostęp do naszego routera może czuć się jak zwycięzca loterii z nagrodami. Pomijając, że poznał nasze osobiste hasła dostępowe do routera i sieci Wi-Fi, może podsłuchiwać cały ruch sieciowy, a nawet przekierowywać użytkowników na wybrane przez siebie strony. W ten sposób istnieje możliwość wyłudzenia od nas np. loginu i hasła do konta bankowego wykorzystując przy tym metody phishingowe.
Do redakcji serwisu Niebezpiecznik.pl zgłosiła się ofiara ataku wykorzystującego dziurę w oprogramowaniu routera. Z jej konta w mBanku zniknęła kwota 1. 000 zł. Przestępcy zalogowali się na router i podmienili serwery DNS operatora na własne. Pozwoliło im to przeprowadzić atak zwany pharmingiem, czyli kierowaniu użytkowników korzystających z fałszywych serwerów DNS na spreparowane strony internetowe, np. banków. Trzeba zaznaczyć, że problem dotyczy wszystkich banków i nawet jeśli oferują one dodatkowe zabezpieczenia np. kodami SMS, cyberprzestępcy mają sposoby, aby je ominąć. Korzystają z rozmaitych socjotechnik, np. zmuszenia użytkownika do zdefiniowania nowego zaufanego odbiorcy. Gdy ofiara to zrobi, wystarczy, że złodzieje zalogują się na nasze konto za pomocą przejętych danych autoryzacyjnych i na wskazany numer rachunku bez przeszkód mogą przetransferować nasze pieniądze.
Za atakami stoją prawdopodobnie Polacy, którzy już dawno przygotowywali się do tej operacji. Pod koniec 2013 roku mBank ostrzegał swoich klientów, że nie wymaga dokonania jakichkolwiek aktualizacji rachunków.
Jak nie stać się ofiarą?
Przede wszystkim zaktualizujmy oprogramowanie routera do najnowszej wersji i zmieńmy domyślny login i hasło na własne dane autoryzacyjne. Sprawdźmy też, czy istnieje możliwość zalogowania się do naszego routera przez internet. Zadanie może ułatwić nam specjalne narzędzie przygotowane przez zespół Orange. Wystarczy przeskanować swoją sieć z wykorzystaniem tego narzędzia. Z narzędzia mogą skorzystać wszyscy internauci, nie tylko klienci sieci Orange.
Jeśli nasze urządzenie jest podatne na ataki, należy zweryfikować czy opisywany problem dotyczy naszego sprzętu. Jak to zrobić? Wystarczy wpisać w przeglądarce internetowej adres IP routera oraz podstrony dotyczącej firmware: _ http://adres_IP_routera/rpFWUpload.html _. Następnie, jeśli po przejściu na podstronę _ http://adres_IP_routera/rom-0 _ będzie możliwość pobrania pliku konfiguracji, oznacza to że nasze urządzenie jest podatne na atak. Wówczas należy zablokować dostęp do urządzenia z zewnątrz, albo skorzystać z alternatywnego firmware (o ile jest wspierany przez urządzenie). Dobrym rozwiązaniem może być również ręczne skonfigurowanie sieci - korzystanie z zaufanych serwerów DNS wpisanych w ustawieniach połączenia sieciowego.
Źródło: Niebezpiecznik.pl, SW, WP.PL
sw/gb/sw