Ну что, друзья, приготовьтесь — сейчас мы окунёмся в мир киберприключений, где российские хакеры играют в прятки с маршрутизаторами, а специалисты из девяти стран пытаются их поймать. Представьте себе: американцы, австралийцы, британцы, канадцы, новозеландцы, эстонцы, финны, французы и итальянцы собрались вместе не на вечеринку с пиццей и бокалом вина (хотя кто знает), а чтобы выпустить совместное предупреждение о новой волне атак от группы российских «виртуозов» клавиатуры. Если бы у хакеров был клуб по интересам — он назывался бы «Berserk Bear & Friends», где каждый участник носит несколько псевдонимов. В отчётах они известны как Berserk Bear, Energetic Bear, Crouching Yeti (да-да, тот самый скрывающийся йети), Dragonfly (стрекоза-мстительница?), Ghost Blizzard и Static Tundra — звучит как набор никнеймов одного слишком увлечённого геймера с раздвоением личности.
И вот эти ребята решили поохотиться на маршрутизаторы — те самые устройства, которые в вашем доме или офисе тихо стоят и делают вид, что просто раздают интернет. Но нет! Они — настоящие стражи сетевого царства. Если компьютер — это квартира с замком на двери, то взломанный роутер — это уже контроль над подъездом вместе с домофоном и почтовыми ящиками. Представьте: кто-то украл ключи от вашего подъезда и теперь может спокойно ходить по этажам вашей сети.
Хакеры ищут маршрутизаторы со слабыми паролями вроде «admin/admin», устаревшими прошивками или открытым протоколом SNMP — тем самым волшебным окном в сеть. SNMP должен помогать администраторам следить за оборудованием, но если его настроить лень или забыть закрыть дверь на замок — он превращается в открытую форточку для злоумышленников. Как говорится в анекдоте: «Поставил пароль “123456”, теперь могу спокойно спать… пока не узнаю про российских хакеров».
После того как найдена «жертва», злодеи посылают команды через поддельные IP-адреса (так они маскируются лучше любого шпионского фильма) и скачивают конфигурационные файлы через TFTP — протокол из эпохи динозавров сетей. Это всё равно что проникнуть в чей-то дом и найти там бумагу с планом всех комнат и запасных выходов. С этими данными хакеры перестают ходить вслепую по сети; перед ними открывается карта сокровищ.
Отдельный сюрприз — функция Cisco Smart Install. Казалось бы, удобная штука для быстрого развёртывания оборудования превратилась в золотую жилу для злоумышленников благодаря уязвимости CVE-2018-0171. Эта ошибка позволяет удалённо вмешиваться в работу оборудования так легко, что даже бабушка могла бы справиться (если бы она была хакером). И несмотря на то что уязвимость известна уже несколько лет, некоторые организации до сих пор используют устаревшие версии программного обеспечения – ну знаете же этот тип людей: «А зачем обновлять? Всё же работает!». Ага.
Самое смешное (или грустное) заключается в том, что многие пользователи сами приглашают беду домой: оставляют заводские пароли без изменений или открывают административный интерфейс роутера в интернет ради удобства удалённой настройки. Это примерно как оставить дверь квартиры открытой с табличкой «Заходите!». И давайте не будем забывать наших российских пользователей: тысячи домашних роутеров работают под паролем admin/admin и открытым SNMP – настоящий подарок для хакеров!