Εκατοντάδες εκατομμύρια καλωδιακά μόντεμ είναι ευάλωτα σε κρίσιμη επίθεση από τους hackers, σύμφωνα με τους ερευνητές.
Οι επιθέσεις λειτουργούν προσελκύοντας τους ευάλωτους χρήστες σε ιστότοπους που εξυπηρετούν κακόβουλο κώδικα JavaScript που φιλοξενείται κρυφά στον ιστότοπο ή είναι κρυμμένος μέσα σε κακόβουλες διαφημίσεις, ανέφεραν ερευνητές της εταιρείας ασφαλείας Lyrebirds σε μια έρευνα που πραγματοποιήσαν. Στη συνέχεια, το JavaScript ανοίγει μια σύνδεση websocket στο ευπαθές καλωδιακό μόντεμ και εκμεταλλεύεται μια ευπάθεια buffer overflow στο αναλυτή φάσματος, έναν μικρό εξυπηρετητή που ανιχνεύει παρεμβολές και άλλα προβλήματα συνδεσιμότητας σε πλήθος μόντεμ από διάφορους κατασκευαστές. Από εκεί, οι απομακρυσμένοι hackers μπορούν να αποκτήσουν πλήρη έλεγχο των μόντεμ, επιτρέποντάς τους να αλλάξουν τις ρυθμίσεις DNS, να κάνουν το κομμάτι μόντεμ ενός botnet και να εκτελέσουν μια σειρά άλλων κακών δραστηριοτήτων.
Το Cable Haunt, όπως έχουν ονομάσει οι ερευνητές το proof-of-concept exploit, είναι γνωστό ότι “δουλεύει” σε διάφορες εκδόσεις firmware των ακόλουθων καλωδιακών μόντεμ:
- Sagemcom F@st 3890
- Sagemcom F@st 3686
- Technicolor TC7230
- Netgear C6250EMR
- Netgear CG3700EMR
Το exploit μπορεί επίσης να λειτουργήσει κατά των Compal 7284E και Compal 7486E. Επειδή ο server αναλυτή φάσματος υπάρχει σε άλλα καλωδιακά μόντεμ, το exploit είναι πιθανό να λειτουργεί και σε άλλα μοντέλα. Η επίθεση της Lyrebirds για τνα αποδείξει τι συμβαίνει λειτουργεί αξιόπιστα έναντι του Technicolor TC7230 και του Sagemcom F @ st 8690. Με κάποιες μικρόαλλαγές, ο κώδικας επίθεσης θα λειτουργήσει σε άλλα μοντέλα που αναφέρονται ως ευάλωτα. Η ευπάθεια αναφέρεται ως CVE-2019-19494. Μια πιο συγκεκριμένη ευπάθεια που στοχεύει μόνο το μόντεμ technicolor TC7230 αναφέρεται ως CVE-2019-19495.
Πλήρης έλεγχος
“Η ευπάθεια επιτρέπει στους απομακρυσμένους hackers να αποκτήσουν τον πλήρη έλεγχο ενός καλωδιακού μόντεμ, μέσω ενός endpoint στο μόντεμ”, έγραψαν οι ερευνητές του Lyrebirds. “Το καλωδιακό μόντεμ σας είναι υπεύθυνο για την κίνηση στο Internet για όλες τις συσκευές του δικτύου. Επομένως, το Cable Haunt θα μπορούσε να εκμεταλλευτεί για να αναχαιτίσει ιδιωτικά μηνύματα, να ανακατευθύνει την κυκλοφορία ή να συμμετάσχει σε botnets. ”
Υπάρχουν τουλάχιστον δύο τρόποι με τους οποίους το exploit μπορεί να αποκτήσει απομακρυσμένη πρόσβαση, πράγμα που σημαίνει ότι μπορεί να εκμεταλλευτεί μέσω του Internet ένας εισβολέας που βρίσκεται εκτός του τοπικού δικτύου.
Ο πρώτος και πιο απλός τρόπος είναι να χρησιμοποιείτε κακόβουλο JavaScript που προκαλεί τη σύνδεση του προγράμματος περιήγησης στο μόντεμ. Κανονικά, ένας μηχανισμός που ονομάζεται “cross-origin resource sharing” εμποδίζει μια εφαρμογή Web από ένα origin (όπως το malicious.example.com) να εργάζεται ένα διαφορετικό origin (όπως 192.168.100.1, η διεύθυνση που χρησιμοποιείται από τα περισσότερα ή όλα τα ευάλωτα μόντεμ ).
Τα Websockets, ωστόσο, δεν προστατεύονται από την CORS, όπως συνήθως ονομάζεται ο μηχανισμός. Ως αποτέλεσμα, τα μόντεμ θα αποδεχτούν το απομακρυσμένο JavaScript, επιτρέποντας έτσι στους επιτιθέμενους να φτάσουν στο endpoint και να τους εξυπηρετήσουν. Ενώ το Cabe Haunt έχει πρόσβαση σε μόντεμ μέσω ενός προγράμματος περιήγησης, η επίθεση μπορεί να προέλθει από οποιοδήποτε μέρος όπου ο κώδικας που εκτελείται μπορεί να φτάσει σε μια διεύθυνση IP στο τοπικό δίκτυο.
Επανασύνδεση επιθέσεων, ROP και πολλά άλλα
Η επίθεση δεν λειτουργεί όταν οι ευάλωτοι στόχοι χρησιμοποιούν τον Firefox, επειδή το websocket που χρησιμοποιείται από το πρόγραμμα περιήγησης δεν είναι συμβατό με το websocket που χρησιμοποιείται από τον αναλυτή φάσματος. Οι επιτιθέμενοι μπορούν ακόμα να εκτελέσουν την απομακρυσμένη επίθεση χρησιμοποιώντας JavaScript που εκτελεί αυτό που είναι γνωστό ως επίθεση επανασύνδεσης DNS. Για να παρακάμψει την ίδια πολιτική προέλευσης – έναν περιορισμό που εμποδίζει τον κώδικα που εξυπηρετείται από έναν τομέα από την εκτέλεση σε διαφορετικό domain – η επίθεση rebinding χειρίζεται πίνακες DNS στο εσωτερικό του τοπικού δικτύου. Επειδή η διεύθυνση domain του ιστότοπου επίθεσης αντιστοιχίζεται στην διεύθυνση IP του ευάλωτου μόντεμ, η JavaScript θα εκτελέσει επιτυχώς τον κώδικα επίθεσης.
Εκτός από το buffer overflow, η επίθεση είναι δυνατή λόγω γνωστών default credentials που χρησιμοποιούνται για την εκτέλεση κώδικα στα μόντεμ. Αυτά τα default credentials προστίθενται απλά στη διεύθυνση URL που χρησιμοποιείται από τον κώδικα επίθεσης, π.χ .: http: // username: password@malicious.example.com. Ο συνιδρυτής του Lyrebirds, Kasper Tendrup, είπε ότι πιστεύει ότι υπάρχουν και άλλες μέθοδοι για να γίνει η επίθεση εξ αποστάσεως.
Το proof-of-concept exploit χρησιμοποιεί άλλα έξυπνα κόλπα για να δουλέψει. Λόγω της δομής μνήμης της γλώσσας συναρμολόγησης MIPS που τρέχει τον αναλυτή φάσματος, ο κώδικας επίθεσης πρέπει να γνωρίζει την ακριβή διεύθυνση μνήμης του ευάλωτου κώδικα. (Για να παρακάμψει τον περιορισμό που θέτει αυτή η δομή μνήμης, το Cable Haunt χρησιμοποιεί προγραμματισμό με προσανατολισμό επιστροφής για να μετακινηθεί ανάμεσα σε προϋπάρχοντα κομμάτια κώδικα και στη συνέχεια να δημιουργήσει ένα συνονθύλευμα υπάρχοντος κώδικα).
Μόλις οι επιτιθέμενοι εκμεταλλευτούν την ευπάθεια, στέλνουν εντολές στον server telnet του μόντεμ για να εγκαταστήσουν ένα αντίστροφο κέλυφος. Από εκεί, οι επιτιθέμενοι μπορούν να κάνουν όλα τα πράγματα, όπως την αλλαγή των ρυθμίσεων DNS, την εγκατάσταση εντελώς νέου firmware, την δημιουργία του μόντεμ σε ένα botnet και την παρακολούθηση μη κρυπτογραφημένων δεδομένων που περνούν από το μόντεμ.
200 εκατομμύρια μόντεμ
Οι έρευνες του Lyrebirds δείχνουν ότι το Cable Haunt λειτουργεί ενάντια σε 200 εκατομμύρια μόντεμ μόνο στην Ευρώπη. Η επίθεση μπορεί να λειτουργήσει εναντίον ενός μεγαλύτερου αριθμού μόντεμ σε ολόκληρο τον υπόλοιπο κόσμο. Ο καθορισμός εάν ένα μόντεμ που δεν είναι στη λίστα Lyrebirds είναι ευάλωτο δεν είναι εύκολο για τους μέσους χρήστες επειδή χρειάζεται να εκτελέσουν αυτόν τον κώδικα PoC στη συσκευή. Η ανίχνευση χακαρισμένων μόντεμ είναι επίσης δύσκολη, καθώς υπάρχουν διάφοροι τρόποι για να αποκρύψουν τη μόλυνση όταν οι επιτιθέμενοι αποκτήσουν πρόσβαση root σε μια συσκευή.
Το Cable Haunt είναι μια σοβαρή τρωτότητα που αξίζει να επιδιορθωθεί σύντομα. Ο πιο πιθανός τρόπος στόχευσης των χρηστών θα ήταν να στείλουν email σε χρήστες ISP που είναι γνωστό ότι παρέχουν ένα ευάλωτο μόντεμ στους χρήστες. Το email θα οδηγούσε τους χρήστες να επισκέφθουν sites που εξυπηρετούν την επίθεση.
