Przejęte serwery NAS i rejestratory sprzedawały dostęp do łączy właścicieli

Co najmniej 143 urządzenia w 34 krajach zostały przejęte i wykorzystane do odpłatnego udostępniania cudzych łączy internetowych. Kampanię opisał 15 października GreyNoise, a ustalenia przedstawił również BleepingComputer. Napastnik instalował legalną aplikację Pawns.app bez zgody właścicieli sprzętu.

Jak działała kampania

Pawns.app umożliwia dobrowolne udostępnianie połączenia internetowego w zamian za wynagrodzenie. W opisanych atakach aplikacja trafiała jednak na cudze urządzenia po włamaniu. Ruch użytkowników sieci pośredniczącej mógł dzięki temu wychodzić do internetu z adresu IP ofiary, a konto wskazane przez napastnika służyło do rozliczania udostępnionego pasma.

Według GreyNoise sprawca wykorzystywał znane podatności w D-Link ShareCenter NAS, Ubiquiti UniFi Video NVR oraz SAP NetWeaver Visual Composer. Badacze zaobserwowali też ataki na rejestratory Hikvision i Dahua, lecz nie wskazali luk użytych w tych urządzeniach. W części przypadków napastnik dodawał klucz SSH jako dodatkową drogę powrotu.

Nowością jest ujawnienie tej konkretnej kampanii i jej skali. Opis nie oznacza, że każdy produkt wymienionych marek jest podatny ani że wszystkie instalacje Pawns.app są złośliwe.

Dlaczego ma to znaczenie dla firm

Serwer plików lub rejestrator monitoringu może działać dalej, mimo że ktoś wykorzystuje jego połączenie. Brak awarii nie stanowi więc dowodu bezpieczeństwa. Szczególnej kontroli wymagają urządzenia dostępne bezpośrednio z internetu.

GreyNoise zwraca też uwagę na problem wykrywania nadużyć: adres domowego łącza i pozornie prawidłowa lokalizacja logowania nie przesądzają o legalności sesji. Sieci pośredniczące mogą utrudniać odróżnianie użytkownika od napastnika. Dla administratorów oznacza to konieczność analizowania również cech urządzenia i przebiegu uwierzytelnienia.

Co sprawdzić teraz

• Ustal, które serwery NAS, rejestratory i panele administracyjne są osiągalne z internetu; ogranicz zbędny dostęp.
• Zweryfikuj dostępność aktualizacji i możliwość dalszego bezpiecznego utrzymywania starszego sprzętu.
• Poszukaj nieautoryzowanych procesów Pawns.app, obcych kluczy SSH i nietypowych połączeń wychodzących.
• W razie wykrycia zmian zabezpiecz dzienniki, odizoluj urządzenie i ustal pierwotną drogę włamania.
• Przy analizie logowań porównuj identyfikatory urządzeń i sesji, zamiast opierać ocenę wyłącznie na lokalizacji adresu IP.

Komentarz SecurHUB

Rejestratory i serwery NAS powinny podlegać temu samemu nadzorowi co pozostała infrastruktura firmy. Audyty bezpieczeństwa pomagają sprawdzić ekspozycję urządzeń, konfigurację dostępu i sposób zarządzania aktualizacjami.

Źródła: GreyNoise, BleepingComputer