Исследователи из ESET обнаружили на e.b.a.y маршрутизаторы-шлюзы с информацией, позволяющей провести целевую атаку на корпоративную сеть.
Прежние владельцы не удосужились почистить конфигурационные данные перед списанием и тем самым поставили себя под удар. Проблема была выявлена благодаря покупке подержанного роутера Juniper для тестовой сети, с помощью которой в ИБ-компании собирались изучать эксплойт RDP, атаки на Microsoft Exchange и элементы АСУ ТП.
При запуске приобретение неожиданно выдало имя хоста софтверной компании из Кремниевой долины.
Находка заинтересовала экспертов, и они купили еще два десятка маршрутизаторов семейств Cisco ASA, Fortinet FortiGate и Juniper SRX. Как выяснилось, более половины из них хранят информацию об устройстве внутренней и внешних сетей организации (протоколы BGP, RIP, OSPF), логины и пароли, списки корпоративных приложений (Microsoft Exchange и SharePoint, SQL, LDAP, VMWare Horizon View, FTP, Lync/Skype, VoIP и т. п.), а также данные клиентов, партнеров и подрядчиков.
В отчете ESET (PDF) представлены неутешительные результаты тестового запуска роутеров, которые оказались рабочими:
- 22% содержат клиентские данные;
- 33% раскрывают данные для подключения сторонних абонентов к сети;
- 44% содержат учетки для подключения к другим сетям на правах доверенного абонента;
- 89% детализируют подключение конкретных приложений;
- 89% содержат ключи аутентификации для обмена с другими маршрутизаторами;
- 100% содержат в кеше учетки IPsec/VPN либо хешированные пароли суперпользователя;
- 100% содержат достаточное количество данных для правильной идентификации прежнего владельца или оператора.
Один из неочищенных роутеров также открывал доступ к интерфейсу удаленного администрирования. Результаты исследования будут также представлены на конференции RSA, которая стартует на следующей неделе.
Имен по понятным причинам ESET не приводит, но оповещения уже разосланы. Такое упущение, как не стертый и выставленный на продажу роутер, позволяет с легкостью получить представление о сетевой инфраструктуре компании, в том числе ее облачных активах.
Эксперты советуют следить, чтобы подобный кладезь конфиденциальной информации не попал в чужие руки (на сайтах производителей обычно опубликованы инструкции по откату до заводских настроек), а в случае недогляда рекомендуется сменить криптоключи и ужесточить контроль доступа, лучше до уровня Zero Trust.
Прежние владельцы не удосужились почистить конфигурационные данные перед списанием и тем самым поставили себя под удар. Проблема была выявлена благодаря покупке подержанного роутера Juniper для тестовой сети, с помощью которой в ИБ-компании собирались изучать эксплойт RDP, атаки на Microsoft Exchange и элементы АСУ ТП.
При запуске приобретение неожиданно выдало имя хоста софтверной компании из Кремниевой долины.
Находка заинтересовала экспертов, и они купили еще два десятка маршрутизаторов семейств Cisco ASA, Fortinet FortiGate и Juniper SRX. Как выяснилось, более половины из них хранят информацию об устройстве внутренней и внешних сетей организации (протоколы BGP, RIP, OSPF), логины и пароли, списки корпоративных приложений (Microsoft Exchange и SharePoint, SQL, LDAP, VMWare Horizon View, FTP, Lync/Skype, VoIP и т. п.), а также данные клиентов, партнеров и подрядчиков.
В отчете ESET (PDF) представлены неутешительные результаты тестового запуска роутеров, которые оказались рабочими:
- 22% содержат клиентские данные;
- 33% раскрывают данные для подключения сторонних абонентов к сети;
- 44% содержат учетки для подключения к другим сетям на правах доверенного абонента;
- 89% детализируют подключение конкретных приложений;
- 89% содержат ключи аутентификации для обмена с другими маршрутизаторами;
- 100% содержат в кеше учетки IPsec/VPN либо хешированные пароли суперпользователя;
- 100% содержат достаточное количество данных для правильной идентификации прежнего владельца или оператора.
Один из неочищенных роутеров также открывал доступ к интерфейсу удаленного администрирования. Результаты исследования будут также представлены на конференции RSA, которая стартует на следующей неделе.
Имен по понятным причинам ESET не приводит, но оповещения уже разосланы. Такое упущение, как не стертый и выставленный на продажу роутер, позволяет с легкостью получить представление о сетевой инфраструктуре компании, в том числе ее облачных активах.
Эксперты советуют следить, чтобы подобный кладезь конфиденциальной информации не попал в чужие руки (на сайтах производителей обычно опубликованы инструкции по откату до заводских настроек), а в случае недогляда рекомендуется сменить криптоключи и ужесточить контроль доступа, лучше до уровня Zero Trust.
