6000 атаки: Какво се случва с вашия рутер, докато спите?

Проучване на текущия пейзаж на киберсигурността разкрива тревожна статистика: всеки домашен рутер е подложен на приблизително 6000 опита за неоторизиран достъп всеки ден. Нападателите използват автоматизирани системи за непрекъснато проучване на мрежовите устройства, като ги сканират за уязвимости чрез виртуални портове – специални входни точки, отговарящи за маршрутизирането на различни видове трафик.

Стандартните рутери са оборудвани с базови защитни стени, които мълчаливо отхвърлят подозрителни заявки, без да регистрират случващото се. Истинският мащаб на проблема става очевиден едва когато се инсталират професионални системи за мрежова защита.

Например, защитната стена pfSense регистрира всеки опит за сканиране на портове, показвайки непрекъснат поток от заявки от неизвестни източници.

Мрежовите портове функционират като виртуални канали за комуникация, като всеки номер на порт е предназначен за определен тип данни: някои от тях обработват уеб трафика чрез HTTP/HTTPS, други отговарят за обмена на поща чрез SMTP/IMAP, а трети обслужват FTP връзки. Съвременните рутери поддържат хиляди такива портове, всеки от които може да се превърне в потенциална входна точка за атакуващите.

Дори потребители с динамични IP адреси и без работещи мрежови услуги редовно се сблъскват с множество опити за сканиране. Експертите по информационна сигурност категоризират тази дейност като „мрежов шум“ – постоянен фонов процес на автоматизирано търсене на пробиви както от злонамерени участници, така и от легитимни инструменти.

Начело на сканирането са специализирани платформи като Shodan и Censys. Тези системи непрекъснато проучват глобалното киберпространство, като създават подробни карти на мрежовата инфраструктура. Те индексират отворените портове, идентифицират свързаните устройства, анализират изпълняваните услуги и събират метаданни за системната конфигурация. Получената информация след това се осребрява чрез платени абонаменти, които се използват както от изследователи на сигурността, така и от бъдещи хакери.

Настоящата екосистема за мрежово сканиране се състои от четири основни вектора. В допълнение към гореспоменатите услуги за картографиране съществуват целенасочени атаки срещу конкретни IP диапазони, при които нападателите методично проучват определена инфраструктура в търсене на точки за достъп. Често срещано е и масовото автоматизирано сканиране по метода „spray and pray“, при което нападателите претърсват произволни адреси с надеждата да открият всяка налична уязвимост. Четвъртият вектор е легитимно сканиране, провеждано от екипи за реагиране при инциденти (IRT) и центрове за операции по сигурността (SOC).

Особена заплаха представляват уязвимостите в протокола за отдалечен достъп (RDP) и други мрежови услуги.

Нападателите активно използват комбинации от откраднати пълномощия и известни уязвимости, за да компрометират системите. Много от атаките се осъществяват чрез специално подготвени HTTP заявки, които използват недостатъци в обработката на входящите данни от маршрутизаторите.

Нагледен пример за отдавнашна уязвимост е пробивът CVE-2018-13379 в устройствата FortiGate. Открита през 2018 година, тя беше експлоатирана чак до 2023 година, въпреки че бяха пуснати кръпки.

Статистическите данни на F5 Labs показват драстично увеличение на активността на сканиране – с 94% през изминалата година. Скокът се дължи отчасти на откриването на нови критични уязвимости в популярни продукти. Например, наскоро открит недостатък в рутерите TP-Link Archer AX21 позволяваше на атакуващите да инжектират команди с привилегии на root чрез обикновена POST заявка, което дава пълен достъп до управлението на устройството.

Анализаторите предупреждават: броят на опитите за хакване само ще се увеличава – статистиката от началото на тази година вече показва рекорден брой.

Корпоративният сегмент е изправен пред още по-силен натиск. Средно големи организации с около 1000 служители регистрират около 40 милиона опита за сканиране всеки месец. Нападателите са настойчиви дори при липса на очевидни уязвимости, като очакват, че в бъдеще ще се появят грешки в конфигурацията.

Наличието на един-единствен отворен порт може да увеличи многократно интензивността на сканирането на IP адрес. Инфраструктурата на нападателите е разпределена по целия свят, но се базира предимно на големи доставчици на хостинг услуги, които предоставят виртуални сървъри.

Съвременните системи за сигурност анализират моделите на трафика, но често не могат да определят репутацията на IP адресите на сканиращите системи. Много организации не обръщат достатъчно внимание на блокирането на разузнавателната дейност, което създава допълнителни рискове. Препоръчва се многопластов подход за противодействие на заплахите, включващ редовни актуализации на софтуера, наблюдение на мрежовата активност и правилно конфигуриране на защитните стени.

Напредналите организации използват системи-примамки (honeypot), които имитират уязвими услуги, за да изучават тактиките на нападателите. Те позволяват да се събира информация за нови методи за атака и своевременно да се адаптират защитните механизми. Въпреки това е почти невъзможно да се предотврати напълно сканирането – можете само да сведете до минимум рисковете.