Исследователи из ESET обнаружили на eBay маршрутизаторы-шлюзы с информацией, позволяющей провести целевую атаку на корпоративную сеть. Прежние владельцы не удосужились почистить конфигурационные данные перед списанием и тем самым поставили себя под удар.
Проблема была выявлена благодаря покупке подержанного роутера Juniper для тестовой сети, с помощью которой в ИБ-компании собирались изучать эксплойт RDP, атаки на Microsoft Exchange и элементы АСУ ТП. При запуске приобретение неожиданно выдало имя хоста софтверной компании из Кремниевой долины.
Находка заинтересовала экспертов, и они купили еще два десятка маршрутизаторов семейств Cisco ASA, Fortinet FortiGate и Juniper SRX. Как выяснилось, более половины из них хранят информацию об устройстве внутренней и внешних сетей организации (протоколы BGP, RIP, OSPF), логины и пароли, списки корпоративных приложений (Microsoft Exchange и SharePoint, SQL, LDAP, VMWare Horizon View, FTP, Lync/Skype, VoIP и т. п.), а также данные клиентов, партнеров и подрядчиков.
В отчете ESET (PDF) представлены неутешительные результаты тестового запуска роутеров, которые оказались рабочими:
- 22% содержат клиентские данные;
- 33% раскрывают данные для подключения сторонних абонентов к сети;
- 44% содержат учетки для подключения к другим сетям на правах доверенного абонента;
- 89% детализируют подключение конкретных приложений;
- 89% содержат ключи аутентификации для обмена с другими маршрутизаторами;
- 100% содержат в кеше учетки IPsec/VPN либо хешированные пароли суперпользователя;
- 100% содержат достаточное количество данных для правильной идентификации прежнего владельца или оператора.
Один из неочищенных роутеров также открывал доступ к интерфейсу удаленного администрирования. Результаты исследования будут также представлены на конференции RSA, которая стартует на следующей неделе.
Среди организаций, чьи данные оказались таким образом раскрыты, числятся MSP-провайдеры, поставщик телеком-оборудования, вендор opensource-софта, оператор глобальной базы данных, организатор праздничных мероприятий, производственное предприятие, американское юрбюро, креативное агентство. Имен по понятным причинам ESET не приводит, но оповещения уже разосланы.
Такое упущение, как не стертый и выставленный на продажу роутер, позволяет с легкостью получить представление о сетевой инфраструктуре компании, в том числе ее облачных активах. Эксперты советуют следить, чтобы подобный кладезь конфиденциальной информации не попал в чужие руки (на сайтах производителей обычно опубликованы инструкции по откату до заводских настроек), а в случае недогляда рекомендуется сменить криптоключи и ужесточить контроль доступа, лучше до уровня Zero Trust.
