Wprowadzenie do problemu / definicja
Backdoor w urządzeniu sieciowym to ukryty mechanizm umożliwiający zdalny dostęp z pominięciem standardowych procedur uwierzytelniania i kontroli administracyjnej. W praktyce oznacza to, że router będący kluczowym elementem infrastruktury brzegowej może zostać przejęty przez operatora ukrytej funkcji lub przez napastnika, który uzyska kontrolę nad kanałem komunikacji.
Ujawnione ustalenia dotyczące routerów produkowanych przez chińską firmę ZBT wskazują, że problem nie ograniczał się do pojedynczego błędu w oprogramowaniu. Badacze opisali wiele implantów obecnych w firmware urządzeń sprzedawanych globalnie pod różnymi markami w modelu white-label.
W skrócie
- Badacze wykryli w routerach ZBT wiele backdoorów obecnych w różnych wersjach firmware.
- Wśród opisanych implantów znalazły się EndlessDoors, SpeakingStone oraz DarkLantern.
- Część mechanizmów inicjowała połączenia wychodzące do infrastruktury sterującej, co utrudniało ich wykrycie.
- Problem może obejmować urządzenia działające w środowiskach komercyjnych, przemysłowych i w lokalizacjach zdalnych.
Kontekst / historia
Sprawa zyskała rozgłos po analizie przeprowadzonej przez CTO firmy VulnCheck, Jacoba Bainesa. Badacz natrafił na ukryty komponent zdalnej kontroli w routerze używanym w środowisku domowym. Dalsza analiza wykazała, że nie był to incydent jednostkowy, lecz część szerszego wzorca występującego w oprogramowaniu tych urządzeń od lat.
Istotne znaczenie ma tu model dystrybucji white-label. Producent dostarcza sprzęt, który następnie trafia do sprzedaży pod markami innych firm. Taki łańcuch dostaw utrudnia identyfikację faktycznego pochodzenia urządzenia, ocenę ryzyka oraz prowadzenie skutecznych działań naprawczych w organizacjach korzystających z tego typu sprzętu.
Analiza techniczna
Najpoważniejszy z opisanych implantów, EndlessDoors, działał z uprawnieniami roota i był obecny w aktualnych obrazach firmware analizowanych routerów. Mechanizm polegał na zestawianiu połączenia wychodzącego do wskazanej domeny sterującej. Dzięki temu operator backdoora mógł wydawać polecenia z najwyższymi uprawnieniami systemowymi, a sam ruch wyglądał jak inicjowany od strony wewnętrznej sieci.
SpeakingStone miał podobny charakter, ale dodatkowo przesyłał dane systemowe i telemetryczne z urządzenia. Według ustaleń akceptował arbitralne polecenia systemowe oraz pozwalał na działania takie jak hijacking DNS. Taki zestaw funkcji zwiększał ryzyko nie tylko trwałego dostępu, ale także aktywnej manipulacji ruchem użytkowników.
DarkLantern działał inaczej niż pozostałe implanty. Zamiast inicjować połączenie wychodzące, nasłuchiwał na porcie UDP i umożliwiał zdalne wydawanie poleceń przy połączeniu przychodzącym. W praktyce oznaczało to większą zależność od ekspozycji urządzenia na sieć, ale tam, gdzie ruch do odpowiedniego portu był dopuszczony, kompromitacja mogła być wyjątkowo prosta.
Na uwagę zasługuje również sposób ukrywania implantów. Zostały one osadzone w firmware tak, aby utrudnić ich wykrycie podczas rutynowej analizy administracyjnej. Obecność kilku wariantów backdoorów sugeruje długotrwały i ewolucyjny rozwój tych mechanizmów, a nie przypadkowo pozostawione narzędzia diagnostyczne.
Konsekwencje / ryzyko
Przejęty router brzegowy stanowi szczególnie niebezpieczny punkt kompromitacji, ponieważ znajduje się w strategicznym miejscu przepływu danych. Napastnik z uprawnieniami roota może przechwytywać ruch, kraść poświadczenia, zmieniać konfigurację DNS, instalować dodatkowe komponenty oraz wykorzystywać urządzenie jako punkt wejścia do dalszej penetracji sieci wewnętrznej.
Ryzyko rośnie w środowiskach przemysłowych i rozproszonych. Routery 4G i 5G często pracują w odległych lokalizacjach, obsługując monitoring, systemy telemetryczne, instalacje energetyczne lub inne elementy infrastruktury krytycznej. Fizyczna wymiana takiego sprzętu może być kosztowna i czasochłonna, co wydłuża okno ekspozycji i utrudnia szybką reakcję.
Dodatkowym problemem pozostaje ograniczona przejrzystość łańcucha dostaw. Organizacje mogą nie mieć świadomości, że korzystają ze sprzętu pochodzącego od tego samego producenta, jeśli urządzenia zostały wprowadzone na rynek pod różnymi nazwami handlowymi. To oznacza, że standardowa inwentaryzacja może nie wystarczyć do wykrycia zagrożonych systemów.
Rekomendacje
Organizacje powinny rozpocząć od przeglądu zasobów i identyfikacji routerów pochodzących od producentów white-label, zwłaszcza tam, gdzie urządzenia obsługują łączność brzegową, komórkową lub zdalną telemetrię. Warto zweryfikować identyfikatory sprzętowe, takie jak adresy MAC i oznaczenia platformy, oraz porównać je z rzeczywistą listą urządzeń używanych w infrastrukturze.
Kolejnym krokiem powinna być analiza firmware i monitorowanie ruchu wychodzącego z routerów do nietypowych domen oraz adresów IP. Szczególną uwagę należy zwrócić na nieuzasadnione połączenia inicjowane po uruchomieniu urządzenia, nietypowy ruch DNS, aktywność na portach UDP oraz anomalie w konfiguracji routingu i translacji nazw.
Jeżeli urządzenie zostanie uznane za potencjalnie zagrożone, najbezpieczniejszym rozwiązaniem jest jego wycofanie z eksploatacji i zastąpienie sprzętem od zweryfikowanego dostawcy. Sama aktualizacja firmware może nie być wystarczająca, jeśli łańcuch dystrybucji poprawek jest niespójny lub nie ma pełnej pewności co do integralności obrazu systemu.
- przeprowadzić pełną inwentaryzację routerów i modemów brzegowych,
- monitorować ruch wychodzący do nietypowych domen i adresów IP,
- wdrożyć segmentację sieci i ograniczyć ruch urządzeń do niezbędnego minimum,
- stosować dodatkowe reguły filtrowania dla ruchu UDP i DNS,
- zaplanować wymianę sprzętu tam, gdzie nie można zaufać integralności firmware.
W dłuższej perspektywie firmy powinny rozszerzyć procedury zakupowe o ocenę transparentności dostawcy, polityki aktualizacji bezpieczeństwa, dostępności dokumentacji komponentów oraz możliwości niezależnej walidacji oprogramowania urządzeń sieciowych.
Podsumowanie
Ujawnione implanty w routerach ZBT pokazują, że zagrożeniem może być nie tylko pojedyncza podatność, ale także celowo osadzony mechanizm trwałego dostępu do urządzenia. Połączenie globalnej dystrybucji white-label, uprzywilejowanego wykonywania kodu i zdalnego sterowania tworzy poważne ryzyko dla przedsiębiorstw oraz operatorów infrastruktury rozproszonej.
Najważniejsze działania obronne obejmują identyfikację zagrożonych urządzeń, analizę ich ruchu sieciowego, ograniczenie ekspozycji oraz planową wymianę sprzętu wszędzie tam, gdzie nie ma pewności co do integralności firmware i bezpieczeństwa łańcucha dostaw.
Źródła
- Dark Reading — https://www.darkreading.com/vulnerabilities-threats/chinese-routers-sold-worldwide-backdoors
- VulnCheck Research — https://www.vulncheck.com/