Wi-Fi-точки H3C, Huawei, Xiaomi допускают угон трафика через ICMP-редирект

Wi-Fi-точки H3C, Huawei, Xiaomi допускают угон трафика через ICMP-редирект

Wi-Fi-точки H3C, Huawei, Xiaomi допускают угон трафика через ICMP-редирект

Университетские исследователи из Китая и США разработали многоступенчатую атаку, позволяющую обойти WPA-защиту и шпионить за пользователями беспроводных сетей. Метод использует уязвимость точек беспроводного доступа (AP) на чипах Qualcomm и HiSilicon и предполагает отправку поддельного редирект-сообщения ICMP.

Виновником появления проблемы раскрытия информации CVE-2022-25667 в чипсетах названных производителей является сетевой процессор: он некорректно обрабатывает ICMP-запросы, используемые для диагностики сетей связи. В результате такое служебное сообщение можно подменить редиректором в рамках MitM-атаки, и уязвимый роутер не заблокирует его, а передаст на целевое устройство.

Подобная уловка, как выяснили (PDF) исследователи, также позволяет обойти WPA-защиту. Проведение атаки в данном случае возможно, если злоумышленник находится в одной сети с жертвой, знает ее IP-адрес, имеет возможность связаться с ее устройством напрямую и нашел на нем открытый порт UDP. Использование HTTPS, SSH либо TLS в дополнение к WPA способно значительно затруднить расшифровку угнанного трафика.

 

В рамках исследования были протестированы 55 моделей роутеров режима AP десяти вендоров; все продукты не смогли заблокировать поддельное ICMP-сообщение. Исследователи также проверили 122 сети Wi-Fi, в том числе с защитой WPA2 и WPA3; 109 из них (89%) оказались уязвимыми к показанной выше MitM-атаке.

 

Список потенциальных жертв включает устройства, использующие Linux 2.6.39 и выше, FreeBSD 6.0 и выше, macOS 10.0.4∼10.10.5, iOS 1∼8 и Android с версиями ядра ниже 10.0, — при условии, что ICMP-редиректы включены по умолчанию.

 

Заинтересованные стороны проинформированы о новой угрозе. В Qualcomm опубликовали бюллетень, а затем выпустили патчи. Компания HiSilicon (собственность Huawei) и шесть из десяти AP-вендоров признали наличие проблемы. Большинство операторов уязвимых WiFi-сетей планируют исправить ситуацию.

Соответствующие уведомления отправлены в сообщества Linux и FreeBSD, а также Google и партнерам – производителям Android-устройств. От Google получен ответ с подтверждением проблемы.

Кроме патчинга, авторы исследования предлагают для защиты ввести дополнительные проверки межсетевого взаимодействия на разных уровнях. К примеру, можно более тщательно проверять входящие ICMP-сообщения на стороне запрашивающего устройства или разрешить AP в беспроводных сетях блокировать подозрительные послания по этому протоколу.

Подобные фильтры усложнят задачу атакующим без поражения в ICMP-функциональности. Исследователи создали прототип такого механизма на базе Linux 4.18 и удостоверились в его эффективности. Они также опубликовали видеролик с демонстрацией своей атаки и собираются сделать доклад на майской конференции IEEE по безопасности и приватности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Пиратские доходы: −20% в России, +12% в Беларуси за два года

Специалисты компании F6 представили результаты первого исследования рынка онлайн-пиратства в России и Беларуси. Выводы — неожиданные: российские пираты зарабатывают в 24 раза больше, чем белорусские, но их доходы падают, а вот в Беларуси — наоборот, растут.

По данным аналитиков департамента Digital Risk Protection компании F6, в 2024 году пиратские ресурсы, нацеленные на российских пользователей, заработали около $36 млн — но это уже на 20% меньше, чем два года назад. Зато в Беларуси доход пиратов вырос на 12%.

При этом рекламные ставки (CPM) на пиратских сайтах в обеих странах остаются примерно одинаковыми — из-за того, что рынок тесно связан: одни и те же площадки, одни и те же рекламодатели.

Главная причина — отсутствие ограничений. В отличие от России, где действует антипиратское законодательство и сайты блокируют почти мгновенно, в Беларуси пиратские порталы спокойно открываются прямо из поисковика.

Эксперты F6 проверили 50 популярных запросов фильмов и сериалов:

  • в России на первой странице поиска пиратские ссылки занимали около 1%,
  • в Беларуси — до 30%.

Добавим к этому рост интереса к нелегальному контенту после ухода международных стримингов — и получим логичное объяснение, почему белорусские пираты только набирают обороты.

Интересно, что 99% пиратских сайтов в Беларуси — русскоязычные. Контент на белорусском языке встречается крайне редко, а основными поставщиками таких версий выступают местные студии озвучки.

В отличие от российских пиратов, белорусские коллеги зарабатывают не на рекламе, а на донатах — добровольных пожертвованиях пользователей. Видео хранятся в облаках и на зарубежных CDN-сервисах.

F6 проверила десятки белорусских пиратских сайтов и не нашла на них вредоносного кода. Однако эксперты уточняют: это не значит, что пользователи в безопасности. Ведь большинство белорусов всё равно смотрят контент на русскоязычных пиратских сайтах, а среди них:

  • 39% признаны опасными,
  • 55% — относительно безопасными,
  • и лишь 6% — полностью безопасными.

«Без принятия специальных законов и усиления защиты авторских прав тренд на рост пиратских доходов в Беларуси сохранится», — говорит старший аналитик департамента Digital Risk Protection компании F6 Эвелина Переходюк.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru