Группа исследователей из специализирующейся на компьютерной безопасности компании FireEye выявила (https://www.fireeye.com/blog/threat-research/2015/09/synful_...) новую вредоносную активность, связанную со скрытой модификации прошивок маршрутизаторов Cisco с внедрением бэкдора, позволяющего контролировать проходящий через маршрутизатор транзитный трафик и использовать маршрутизатор как точку для проведения атак на внутреннюю сеть. В результате исследования в Сети выявлено 14 поражённых  маршрутизаторов, территориально находящихся в Индии, Мексике, Филиппинах и Украине.

Известно, что атака производится как минимум на модели Cisco 1841, 2811 и 3825. Для данных моделей атакующими был подготовлен вариант прошивки, содержащий скрытый бэкдор, в обычных условиях никак себя не проявляющий и активируемый при выявления в трафике специально оформленных управляющих пакетов, что существенно затрудняет выявление атакованных устройств. Как правило, для выявления бэкдора требуется анализ дампа прошивки (http://blogs.cisco.com/security/offline-analysis-of-ios-imag...). В качестве наиболее вероятного способа проникновения на маршрутизатор называется подбор типовых паролей или перехват параметров доступа в результате проведения других атак.

Бэкдор обладает достаточно широкими возможностями, в том числе позволяет загружать модули, расширяющие его функциональность и позволяющие применять различные виды атак. Для активации модуля на
80 сетевой порт (HTTP) маршрутизатора отправляется специально оформленный TCP SYN-пакет. Модули могут представлять собой как независимые исполняемые блоки кода, так и обработчики различной функциональности Cisco IOS. Например, через подобный модуль реализована возможность входа на маршрутизатор по протоколу telnet с предопределённым злоумышленниками паролем.

Бэкдор размещается с внесением изменений в прошивку, что позволяет сохранить его работоспособность после перезагрузки.

URL: https://www.fireeye.com/blog/threat-research/2015/09/synful_...
Новость: http://www.opennet.me/opennews/art.shtml?num=42969

• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,A.Stahl, 22:42 , 15-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,klalafuda, 23:22 , 15-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 00:09 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,pavlinux, 16:00 , 16-Сен-15
        • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 20:54 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Айнанимм, 06:54 , 17-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 00:20 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Fracta1L, 07:25 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,iPony, 08:16 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 10:13 , 16-Сен-15
        • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,daemontux, 11:46 , 16-Сен-15
          • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,daemontux, 11:46 , 16-Сен-15
          • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,pavlinux, 16:02 , 16-Сен-15
            • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 16:07 , 16-Сен-15
          • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,linuxisnotunixitisawindows, 23:02 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 20:54 , 16-Сен-15
    • Кенгуру СС3,VaNO, 23:27 , 16-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,тигар, 09:09 , 16-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,anonymous, 12:35 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,pavlinux, 16:06 , 16-Сен-15
        • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,древний Аноним, 20:28 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 22:47 , 15-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 23:03 , 15-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 23:13 , 15-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,_KUL, 00:38 , 16-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,for mother russia, 08:06 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,абвгдейка, 09:30 , 16-Сен-15
        • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 20:57 , 16-Сен-15
        • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Есюки, 08:08 , 17-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,grec, 23:16 , 15-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,тыц, 23:37 , 15-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,тыц, 03:01 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 23:37 , 15-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 12:30 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 00:05 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Нанобот, 07:19 , 16-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 09:38 , 16-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Клыкастый, 11:18 , 16-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 11:36 , 16-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 14:20 , 16-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Andrey Mitrofanov, 14:38 , 16-Сен-15
      • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Аноним, 15:19 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,VolanD, 12:26 , 16-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,клоун, 16:17 , 16-Сен-15
    • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,тыц, 17:28 , 16-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,un4me, 11:37 , 17-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,un4me, 11:43 , 17-Сен-15
• Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Барак Обама, 16:11 , 17-Сен-15
  • Зафиксирована атака с подстановкой бэкдора в маршрутизаторы ...,Anonplus, 19:50 , 18-Дек-15

А раньше на обычные ширпотребные мамки лепили джампер, запрещающий изменение БИОСа. Но раньше и трава была зеленее и милиция добрее.

Раньше и на флешках был крыжик 'read only'. А сейчас - пишите люди добрые ничего не жалко.

> Раньше и на флешках был крыжик 'read only'.

Так и сейчас у большинства чипов флеша есть пин _WP, хардварно вырубающий запись. А уж куда он подключен в конкретной системе - уже дело создателей этой системы.

> А уж куда он подключен в конкретной системе ...

К серверу АНБни

Что, павлуша, теперь анбня к тебе и через шапочку из фольги достучалась? А ты полезай в чугунный водолазный колокол - там ни одного разрыва, отвечаю!

Принесли мне както на "ремонт" фильдоперсовую флешку с какимето там стразами - у ней этот выклбчатель сдох и она была доступна "только для чтения"... 15 минут гугления и китайский прашивальщик перешил её контралёр выкусив эту "апаратную" защиту...

> Раньше и на флешках был крыжик 'read only'. А сейчас - пишите
> люди добрые ничего не жалко.

И на вебках шторки были...

И хакеры стучались, прежде чем войти.

> на вебках шторки были...

Ну так самому лепить надо. С ноутбуком вот просто, на смартфоне к сожалению сложнее с фронтальной :( Отклеивается.

И бензин по 25 и бакс по 30.

> И бензин по 25 и бакс по 30.

Кто пустил школоту на opennet?
До августа 98 года доллар был по 6р

>> И бензин по 25 и бакс по 30.
> Кто пустил школоту на opennet?
> До августа 98 года доллар был по 6р

И таки да обидеть ни кого не хочу )

>> И бензин по 25 и бакс по 30.
> Кто пустил школоту на opennet?
> До августа 98 года доллар был по 6р

Студни detected - Курс 1 доллара на 1 мая 1985 года - 0.60 копеек.  

Небось с сайта ЦБ взял, студень )

А в 1400-м доллара ваще не было.

> И на вебках шторки были...

С розовыми крокодильчиками.

Пришлось правда из штатов заказывать. Выключатель там хлипковат, думаю еще пол года и сломается. И еще вызывает подозрение что если её вставить в положении запись разрешена, потом переключить в реад онли не вынимая из разъема, то файлы на неё всё равно пишутся.

> А раньше на обычные ширпотребные мамки лепили джампер, запрещающий изменение БИОСа. Но
> раньше и трава была зеленее и милиция добрее.

раньше и наклейки были, чтобы на дискетки 5.25" писать нельзя было при заклееном окошке!1

Раньше наклейки были чтобы PROM не стирался.

> Раньше наклейки были чтобы PROM не стирался.

Раньше надо было идти в первый отдел, потом к ведущему он к главному инженеру,
чтоб вообще чё-нить записать.  

А еще раньше - вообще делать новую глиняную дощечку ...
А еще раньше - топать до шамана, искать новую пещеру с неразрисованными стенами.

>> территориально находящихся в Индии, Мексике, Филиппинах и Украине

это же главные хостеры порнухи и прочей "оппозиции"! )

И что? Ни ключи ни сертификаты не помогли? Джампер рулит?

Ребята опередили АНБ?

Это похоже они и есть.

> Это похоже они и есть.

Судя по выбору hardcoded-пакетов авторизации и отсутствию стелс-механизмов, это не АНБ а кто-то поменьше, м.б. просто ушлый хакер :) Там времени больше на реверс ушло чем на код

Интересно, как же они нашли зверя, вряд ли профилактическим дампом прошивки.. неужели IDS-системы на что-то годны?

>Судя по выбору hardcoded-пакетов авторизации и отсутствию стелс-механизмов, это не АНБ а кто-то поменьше

ну ок - контора, нанятая АНБ :)

> ну ок - контора, нанятая АНБ :)

Не, это путинский след, чувак.

Фольги, срочно фольги!

Как там акции циско? Еще не упали?

С чего им падать-то?

Если кто-то получит доступ к железке, то сможет поставить модифицированный код с бэкдором.
И что?
Если кто-то получит доступ к твоему компьютеру, будет ровно тоже самое. Не давай своё железо кому попало.

И как это относится к текущему случаю?

Смысл данной "уязвимости" практически такой же как у опубликованной недели три назад про подмененный ROMMON -- какие-то люди справились наваять и скомпилировать код успешно запускающийся и притворяющийся IOS-ом. Таким образом теоретическая возможность сделать это была практически осуществлена. Вот и всё.

Никаких фиксов и исправлений IOS-а по этому поводу не предполагается -- нечего исправлять.

>В качестве наиболее вероятного способа проникновения на маршрутизатор называется подбор типовых паролей или перехват параметров доступа в результате проведения других атак.

ещё и хрен знает, где именно дыра, поди кто-то анбшный бекдор пронюхал

Спецслужбы в сотрудничестве с производителями делали дырявые сетевые железки и даже не думали, что настанет момент когда им отстрелят ногу из их же оружия.

> и опубликовала сигнатуры (Snort Rule SID:36054

Цыска наносит ответный удар. А я то думал - нафига они его к рукам прибрали...

В cisco до сих пор ниасилили запретить запуск неподписаного кода?

Так может ключик кто-то из уполномоченных в кафе забыл :)

как у всех фанатов security by obscurity. типа "прошивки оне могут взять только у нас, а мы никому не скажем как оне пишутся"

Как пишутся - известно, развидеть бы такое.

Пусть и не начинают. И да, никакого гита мы не знаем, только перфорс.

> Пусть и не начинают.

Дм уж. PE-exe-шники, подписываемые у м-с-а это забавно. Пока издаля и не начнёт заливать сверху, снизу, в двери и в окна.

> И да, никакого гита мы не знаем, только
> перфорс.

А что, один из индусов в сиске нам рассказывал, что он фиг знает сколько лет назад познал перфорс, а всякие наши новомодные приколы, типа гита, ещё не достаточно штобильны. Да и вообще, лень ему новое изучать.

Чет я не понял. Чуваки написали ПО с бэкдором, которое поставили на циску и оно там завелось. Т.е. это бекдор не в родной прошивке, а в прошивке, которую сделали они? Если так- и чо? Во-первых, им еще нужно поставить ее на мою железку. А если им это и удалось, то они в принципе то и так могут делать что хотят, раз им удалось попасть на нее. Я чет не понял. Да и к тому же, с таким же успехом можно подставить любого другого вендора, если еще к тому же под его железку есть опенкод прошивка...

... скрытая модификация прошивок

... позволяет контролировать проходящий траффик

... способ проникновения: подбор типовых паролей

... никак себя не проявляет

... выявляется через анализ дампа прошивки

И всё это только после того как удастся УЖЕ поиметь доступ к девайсу и поставить на него прошивку с бэкдором.

Господа, а где бы взять скрипты NSEшные для сканирования nmap'ом, в блоге описание есть а файлов нет...

Сори перечитал все тут https://github.com/fireeye/synfulknock/tree/master/NSE

Акции Juniper резко поднялись в цене.

В джуниперах сегодня тоже нашли бекдор. Причем, "из коробки" ;)