Вашият рутер на Cisco вече не е ваш – вероятно той тайно работи за хакери

Специалистите от Eclypsium са регистрирали рязко увеличение на активността на скенерите, насочени към остаряло и отдавна неподдържано мрежово оборудване. Основната опасност се състои в това, че значителна част от тези атаки идва от вече прихванати устройства на Cisco, Linksys и Araknis, които отдавна са извадени от поддръжка и вече не получават актуализации. По данни на Shadowserver Foundation, броят на новокомпрометираните маршрутизатори е надхвърлил 2200 през последните месеци и този брой продължава да расте.

В доклада на Eclypsium се отбелязва, че нападателите не се интересуват дали използват съвременни уязвимости или пробиви, които са на повече от 15 години – важното е устройството да остане уязвимо.

Сред активно експлоатираните модели са Cisco Small Business RV, който е напълно изтеглен от поддръжка, гамата Linksys LRT, която получава само ограничени актуализации и Araknis Networks AN-300-RT-4L2W, за които вече не се издава фърмуер. Тези устройства все още работят в инфраструктурата на компаниите и в домашните мрежи, но на практика са отворени врати за атаки.

Опасността се засилва от протоколите, наследени от по-старите поколения мрежов софтуер. ФБР вече предупреди, че нападателите активно използват механизми като Cisco Smart Install (SMI) и SNMP, които предават данни без криптиране. Въпреки че CVE-2018-017 е известна от 7 години, тя все още позволява на групи да атакуват успешно хардуер. Дори когато се пускат пачове, потребителите често се бавят с инсталирането им, а малките предприятия и частните собственици изобщо игнорират актуализациите, което прави проблема хроничен.

Според изследователите така наречените „прашни ъгли“ на ИТ инфраструктурата са стар хардуер, наследени версии на Windows със затворени приложения и забравени услуги без актуализации. Всички те остават потенциални входни точки. В такава среда киберпрестъпниците трябва само да проведат масово сканиране в интернет, за да намерят и заразят уязвими устройства.

Най-честите мишени на атаките днес бяха рутерите Huawei Home Gateway HG532. Близо 600 уникални IP адреса са атакувани ежедневно от капани на Shadowserver, които се опитват да използват критична уязвимост в отдалечен режим, открита още през 2017 година. Тя позволява изпращането на специално създадени пакети, за да се получи пълен контрол над устройството.

Следващите два най-популярни експлойта са свързани със защитни стени SonicWall. В SonicOS все още активно се търси уязвимост от 2022 година, която позволява да се предизвика отказ на услуга или да се изпълни код на устройството без разрешение, както и уязвимост от 2023 година, която нападателите са в състояние да използват, за да свалят хардуера за сигурност. Средно около 300 уникални IP адреси проверяват за тези бъгове всеки ден.

Стотици източници на трафик все още сканират уязвимости в Cisco IOS XE, открити през 2018 и 2023 година, експлоатират дупка в Belkin Wemo (от 2019 година), експлоатират бъг в Realtek SDK, който е на повече от десетилетие, и експлоатират проблеми със сигурността в Zyxel Eir D1000, известни от 2016 година.

Изследователите подчертават, че единственият ефективен начин да се намали рискът е да се откажете от остарели протоколи като TELNET, SNMP и SMI, да замените хардуера, който вече не е актуален и да поддържате всички системи в актуално състояние, дори ако те изглеждат незначителни. Особено важно е редовно да се актуализира фърмуерът на рутерите и точките за достъп до Wi-Fi, тъй като те често са първата цел на нападателите.