Routerhack Deutsche Telekom raakt ook andere internetproviders
De routerhack die bijna 1 miljoen klanten van Deutsche Telekom offline heeft gegooid, bedreigt ook gebruikers van internetproviders in andere landen. Diverse routers zijn kwetsbaar.
De grote internetstoring bij de Duitse provider Deutsche Telekom wordt toegewezen aan een variant van het beruchte IoT-botnet Mirai. Een horde van gekaapte apparaten heeft een DoS-aanval (denial of service) uitgevoerd op consumentenrouters, waarbij de onderliggende kwetsbaarheid een veel groter bereik blijkt te hebben. Security-onderzoek door diverse partijen wijst uit dat internetproviders (ISP’s) in landen als Duitsland, Groot-Brittannië, Ierland, Polen en Brazilië ook grote aantallen kwetsbare modemrouters in gebruik hebben.
48 modellen
Het gaat om diverse DSL-modemrouters van meerdere merken, waaronder SpeedPort, Zyxel, D-Link, MitraStar, DigiCom en Aztech. Beveiliginsonderzoeker Darren Martyn van Xiphos Research heeft al 48 verschillende kwetsbare apparaten geïdentificeerd. Hij gaat zijn complete en ontdubbelde lijst nog openbaren.
De betreffende modemrouters zijn door ISP’s op afstand te configureren (middels de protocollen TR-069 en TR-064) op TCP-poort 7547. Toegang tot deze beheerfunctie blijkt zonder authenticatie te gebeuren. Dit betekent dat er geen controle is op wie er inlogt op deze beheerinterface. De kwetsbaarheid is al opgenomen in het arsenaal van de bekende exploit- en testtool Metasploit.
Scans op poort 7547 zijn de afgelopen dagen enorm toegenomen, waarschuwt beveiligingsorgaan SANS Internet Storm Center. Lokservers die zich voordoen als kwetsbare routers, opgezet door het Storm Center, krijgen elke vijf tot tien minuten een malafide inlogpoging over zich heen.
Miljoenen kwetsbaar
Een scan via IoT-zoekmachine Shodan levert 41 miljoen apparaten op waarbij deze poort openstaat. Beveiligingsbedrijf Flashpoint schat in dat er wereldwijd 5 miljoen routers zijn die TR-commando’s accepteren van non-ISP’s. Een random scan door Xiphos-onderzoeker Martyn heeft bij 1,6 miljoen apparaten al ruim 127.000 kwetsbare routers opgeleverd. Gebruikers kunnen ook hun eigen internetverbinding laten controleren.
Het SANS Internet Storm Center stelt dat de aanvalscode is afgeleid van het Mirai-botnet. Die IoT-hackende malware is onlangs openlijk vrijgegeven waardoor iedereen er mee aan de slag kan gaan. Het Nederlandse securitybedrijf Fox-IT heeft al gemeld dat een bijgewerkte versie van Mirai wordt verspreid via specifiek kwetsbare modemrouters.
Infectiepogingen
Hierbij proberen aanvallers dus deze netwerkapparatuur bij consumenten te hacken zodat die zijn in te zetten voor massale DDoS-aanvallen. In het geval van Deutsche Telekom lijkt er echter geen sprake van Mirai-besmetting te zijn, maar ‘slechts’ van het offline halen van 900.000 internetgebruikers. Mogelijk zou de DoS dus niet de bedoeling zijn geweest.
Dit wil echter niet zeggen dat de modemrouters van deze slachtoffers veilig zijn voor infectie, waarschuwt beveiligingsbedrijf Comsecuris. Het heeft in zijn eigen onderzoek naar deze zaak namelijk weer andere kwetsbaarheden gevonden. Deutsche Telekom biedt klanten wel een firmwarefix voor de nu gebruikte kwetsbaarheid. Hiervoor moeten gebruikers simpelweg hun routers rebooten, waarna de nieuwe firmware automatisch wordt gedownload en geïnstalleerd.
