Vedvarende routerbunn på horisonten, forsker sier hos Defcon

Sikkerhetsforsker Michael Coppola demonstrerte hvordan små og hjemmekontor (SOHO) rutere kan bli kompromittert og forvandlet til botnetklienter ved å oppdatere dem med backdoored versjoner av leverandør-levert firmware.

Coppola, som er sikkerhetskonsulent ved virtuell sikkerhetsforskning (VSR), ga et krasjbane i tilbakekobling av routerens firmware - en komplisert prosess som krever omvendt tekniske ferdigheter - på Defcon hacker-konferansen på søndag.

Under snakk han lanserte også et verktøy kalt ruteren etterutnyttelsesramme (rpef) som automatiserer programvarenes bakdørprosess for flere populære rutermodeller fra forskjellige leverandører.

[Videre leser: Slik fjerner du skadelig programvare fra din Windows-PC]

Enhetene som støttes av rpef, inkluderer: Netgear WGR614, WNDR3700 og WNR1000; Linksys WRT120N; TRENDnet TEW-651BR og TEW-652BRP; D-Link DIR-601 og Belkin F5D7230-4.

Bare spesifikke versjoner av disse rutene kan være gjennomsyret med rammen og noen krever mer testing. Men listen over støttede enheter vil bli utvidet i fremtiden.

Rpef kan legge til flere nyttelaster til ruteren firmware: et rotbindeskall, en nettverkssnuser eller en botnetklient som kobles til en forhåndsdefinert IRC (Internet Relay Chat) server der den kan motta forskjellige kommandoer fra angriperen, inkludert en for å starte et avslag på tjenesten.

Skrive den bakdørte firmwareenheten på en enhet - en prosess som også kalles blinking - kan gjøres via web- baserte administrasjonsgrensesnitt for de fleste rutere, og en ekstern angriper kan misbruke denne funksjonen på flere måter.

En metode er å skanne Internett for rutere som gjør at deres nettbaserte administrasjonsgrensesnitt er tilgjengelig eksternt. Dette er ikke standardinnstillingen i mange rutere i dag, men mange enheter som er konfigurert som dette, er tilgjengelige på Internett.

Når disse enhetene er identifisert, kan angriperen forsøke å bruke standardleverandøren som følger med, brute force passordet eller utnytte godkjenningsbypass sårbarheter for å komme inn. Det er nettsteder som spesialiserer seg på å spore og dokumentere rutens standard administrative legitimasjon og sårbarheter.

"Jeg har gjort portskanninger, og det er store nettblokker med tusenvis av IP-adresser til åpne rutere som lytter eksternt til Internett med standard passord, sier Coppola.

Men selv når webgrensesnittet ikke blir eksponert for Internett, kan du blinke dem med rogue-firmware eksternt.

I en presentasjon på sikkerhetsforskerne Phil Purviance og Joshua Brashars, som jobber for sikkerhetskonsulentfirmaet AppSec Consulting, viste hvordan kjente JavaScript-angrep kan være kombineres med nye HTML5-baserte teknikker for å blinke DD-WRT Linux-basert tilpasset fastvare på en brukers ruter når han besøker et skadelig nettsted.

Det finnes allerede JavaScript-baserte skript som kan oppsummere lokale nettverksenheter gjennom et offers nettleser og selv bestemme type, merke og modell for disse enhetene - en teknikk som kalles enhetens fingeravtrykk.

Fastsettelse av offerets interne nettverk IP-adresse kan ikke gjøres med JavaScript alene, men pluginbasert innhold som Java kan brukes For dette formålet sa Purviance og Brashars.

Når en router er blitt identifisert, kan angriperen prøve å få tilgang til sitt webgrensesnitt gjennom offerets nettleser ved å bruke standard legitimasjonsbeskrivelser eller ved å starte en CSRF (Cross-Site Request Forgery) angrep som piggybacks på offerets aktive økt.

Hvis offeret ble logget inn i ruterenes webgrensesnitt med den samme nettleseren tidligere og deres øktkake er fremdeles aktiv, kan angriperen rett og slett lede sjefen m's nettleser for å utføre en handling i ruteren grensesnitt uten behov for autentisering.

Mange rutere, spesielt eldre som ikke har blitt oppdatert med ny firmware, har ikke CSRF-beskyttelse.

Purviance og Brashars viste hvordan ny nettleser har funksjoner som XMLHttpRequest Level 2 (XHR2), Cross-Origin Resource Sharing CORS) og HTML5 File API, kan brukes til å laste ned en rogue firmware-fil til brukerens nettleser og deretter blinke ruteren med den uten brukermedvirkning. Dette var ikke mulig i det siste med JavaScript og eldre nettleserteknologier, sa de to forskerne.

Deres demonstrasjon brukte DD-WRT, som har nedgang i å tilbakestille ruterenes brukerdefinerte innstillinger og kan oppdages enkelt fordi den har en forskjellig grensesnitt.

Imidlertid kan deres angrep enkelt kombineres med den bakdørerte firmware produsert av Coppolas verktøy. I stedet for DD-WRT kan man laste opp en bakdørret fastvare, og det vil se ut akkurat det samme som den opprinnelige, sier Coppola.

Selv de brukerdefinerte innstillingene kan beholdes. De fleste rutere tilbyr muligheten til å beholde innstillinger når de utfører en fastvareoppdatering, sa Coppola. Disse innstillingene lagres på en separat minnebrikke som heter NVRAM (ikke-flyktig random access memory) som ikke blir overskrevet når du blinker fastvaren, sa han.

"Det er mange muligheter for folk å lage massive botnetter bare fra rutere, "sa Coppola. "Jeg tror faktisk at dette skal begynne å komme opp, og det betyr jeg ikke på en sensasjonell måte."

Rutebaserte botnetter er ikke bare et konsept. Tilbake i 2009 oppdaget DroneBL, en organisasjon som sporer IP-adressene til infiserte datamaskiner, en orm som infiserte rutere og DSL-modemer som kjører mipsel Debian-distribusjonen.

I 2011 kom forskere fra antivirusleverandøren Trend Micro over et lignende stykke av skadelig programvare som spredte seg i Latin-Amerika og målrettet mot D-Link-rutere.

I begge tilfeller brukte skadelig programvare brudstyrkeangrep og standardlegitimasjon for å kompromittere ruterne og installere en midlertidig botnetklient som ble fjernet når ruterne omstartet.

Med den bakdørerte fastvaren som er opprettet av Coppolas verktøy, fortsetter infeksjonen når enheten startes på nytt, og malware for rootkit-typen som kjører på enheten, er faktisk skjult.

Grunnen til at ruteren botnets ikke er vanlig er at De riktige verktøyene for å skape dem eksisterte ikke, sa Coppola. Et eget verktøy presentert på Defcon på fredag ​​kalt Firmware Reverse Engineering Konsole (FRAK) øker virkelig nivået av analyse som folk kan gjøre på fastvare, sa han.