Российские хакеры вновь решили поиграть в старую добрую игру «Поймай меня, если сможешь», только вместо паркета и костюмов — маршрутизаторы и устаревшие протоколы SNMPv1/v2. Представьте себе: 19 агентств безопасности, словно строгие учителя, собрались вместе и дружно сказали: «Ребята, хватит играть в динозавров! Выключайте эти древние SNMPv1/v2, переходите на современный SNMPv3, включайте MFA и не забывайте обновлять Cisco!» Ведь если не сделать этого, ваши маршрутизаторы могут стать отличной закуской для киберпреступников.
Серьёзно, ситуация напоминает анекдот про дедушку, который до сих пор пользуется кнопочным телефоном и удивляется: «Почему мне каждый раз звонят мошенники?» Вот так же и с этими старыми протоколами — они вроде работают, но уже давно стали лакомым кусочком для злоумышленников. Российские хакеры, поддерживаемые государством (ну вы поняли — те самые ребята из фильмов про шпионов), используют эти уязвимости как ключ к вашим сетям. Они сканируют ослабленные устройства с радостью ребёнка на сладком базаре — выбирают самые простые цели и воруют данные словно конфеты из банки.
И вот тут начинается самое интересное: они не просто заходят внутрь, а берут файлы конфигурации ваших маршрутизаторов как трофеи. Эти файлы содержат пароли и важную информацию о сети — всё это в незашифрованном или слабозашифрованном виде. Как говорил один мой друг-программист: «Это как оставить ключи от квартиры под ковриком и удивляться, почему к вам заходят без приглашения». Сева Иоуссуфович из Info-Tech Research Group даже отметил: «Это звучит просто, но работает уже более десяти лет». Ну что тут скажешь? Если что-то работает десять лет — может пора обновиться?
Для атаки хакеры используют стандартный протокол SNMP (Simple Network Management Protocol), который помогает устройствам общаться друг с другом. Но беда в том, что многие до сих пор используют устаревшие версии v1 или v2 со стандартными паролями типа «public» или «private». Это примерно как поставить на дверь табличку «Вход без проблем» — кто угодно войдет! Особенно если администраторы забыли поменять эти пароли после установки.
Злоумышленники хитры: они подделывают IP-адреса и приказывают маршрутизаторам скопировать свои конфигурационные файлы (обычно config.bkp или output.txt) на сервера злоумышленников. Представьте себе офисного работника, который случайно отправил все секретные документы конкурентам вместо своему начальству — вот примерно так это выглядит в цифровом мире.
Кроме того, российские хакеры любят использовать старые добрые уязвимости Cisco (CVE-2018-0171 и CVE-2008-4128). Это похоже на то, как кто-то пытается открыть вашу дверь старым отмычкой из 2008 года — а она всё ещё подходит! А группы с такими именами как «Berserk Bear», «Crouching Yeti» и «Ghost Blizzard» звучат скорее как персонажи из игры про борьбу с монстрами. Только тут монстры настоящие — они крадут данные критической инфраструктуры: связь, энергетику, финансы и даже здравоохранение.