Представьте себе: российские хакеры не идут на сложные ухищрения с искусственным интеллектом или квантовыми вычислениями, а просто берут да и атакуют маршрутизаторы через старые-добрые протоколы SNMPv1 и v2. Это примерно как если бы воришка в XXI веке решил проникнуть в дом через незапертую дверь, которую хозяева забыли закрыть еще в девяностых. И вот 19 агентств безопасности из разных уголков света — от Северной Америки до Австралии — дружно бьют тревогу: ребята, хватит играть в «настроил и забыл», пора отключать эти древние протоколы и переходить на SNMPv3, внедрять многофакторную аутентификацию (MFA) и обновлять ПО Cisco. Иначе ваши маршрутизаторы станут тем самым незапертым домом для киберпреступников.
История эта напоминает анекдот про сантехника, который пришел починить кран, а потом выяснилось, что он просто открутил его, чтобы посмотреть внутри. Российские хакеры действуют примерно так же: они сканируют сеть на предмет уязвимых устройств, которые работают на старых протоколах с предсказуемыми паролями — типа «public» или «private». Это как оставить ключ под ковриком с табличкой «Ключ под ковриком». И тут начинается самое интересное: используя поддельные IP-адреса, злоумышленники командуют этим бедным маршрутизаторам сделать копию своей конфигурации и отправить её на серверы, которые они сами контролируют. Представьте себе офисного работника, который получил приказ сделать копию всех документов и отправить их прямо конкурентам — звучит абсурдно? А вот именно так и происходит.
Не стоит думать, что это какой-то новый фокус. Этот трюк эксплуатируется уже более десяти лет! Можно сказать, что российские хакеры — это такие «ностальгические» ребята: им нравится пользоваться старыми методами. Как тот знакомый программист, который до сих пор пишет код на Pascal и считает это вершиной совершенства.
Кроме того, злоумышленники не забывают про старые добрые уязвимости в устройствах Cisco — CVE-2018-0171 и CVE-2008-4128. Если вы думаете, что десять лет назад никто не пользовался интернетом — ошибаетесь! Тогда уже вовсю пользовались этими устройствами, а теперь они служат входными воротами для хакеров. Эти уязвимости позволяют выполнять произвольный код или вызывать отказ в обслуживании — другими словами, устроить цифровой саботаж просто нажатием кнопки.
Весело? Не очень. Особенно учитывая список групп хакеров с такими названиями, будто они персонажи из фантастического боевика: «Berserk Bear», «Crouching Yeti», «Dragonfly»… Звучит как зоопарк или клуб любителей экзотических животных! Но шутки в сторону — эти группы серьезно угрожают таким критически важным отраслям как связь, энергетика и здравоохранение.
Главная проблема здесь — корпоративная гигиена маршрутизаторов. Многие компании относятся к ним как к старому дедовскому ружью: поставили на полку и забыли навсегда. А ведь маршрутизаторы — это сердце сети! Если оно заболеет или перестанет работать правильно из-за халатности администраторов безопасности (которые постоянно перекладывают ответственность друг на друга), то последствия могут быть катастрофическими.
Как говорил один мой знакомый системный администратор после очередного взлома: «Настроил я этот маршрутизатор однажды… ну вроде работает… пусть себе работает!» Вот только злоумышленники не дремлют и используют эту лень против нас.