Zyxel ha corretto una vulnerabilità zero-day nei suoi switch di rete della serie GS1900 che gli attaccanti hanno sfruttato per compromettere quasi 1.000 dispositivi in tutto il mondo. Secondo quanto riportato da BleepingComputer, gli hacker hanno utilizzato la falla per rubare file di configurazione e credenziali. Se utilizzi uno di questi switch a casa, in un piccolo ufficio o in un home lab, la vulnerabilità zero-day dello Zyxel GS1900 è un buon motivo per controllare oggi stesso il tuo firmware.

Cosa è successo agli switch Zyxel GS1900

I fatti disponibili finora sono chiari. Una falla precedentemente sconosciuta nella serie GS1900 è stata sfruttata prima che esistesse una correzione. Gli attaccanti l'hanno usata per introdursi in quasi 1.000 dispositivi in tutto il mondo ed estrarre dati sensibili, in particolare file di configurazione e credenziali. Zyxel ha ora rilasciato una patch.

Il report di origine non fornisce qui un'analisi tecnica completa, quindi non faremo supposizioni su come funzioni l'exploit o su chi ci sia dietro. Ciò che conta per i proprietari è semplice: la falla è stata usata in attacchi reali, ora è disponibile una correzione e i dispositivi non aggiornati restano esposti.

Perché le configurazioni e le credenziali rubate sono così pericolose

Uno switch può sembrare un componente noioso, ma si trova al centro di una rete. Il suo file di configurazione è di fatto una mappa di quella rete e può contenere dettagli su come i dispositivi sono collegati e su come lo switch viene gestito.

Le credenziali peggiorano il problema. I login rubati possono permettere a un attaccante di tornare in seguito, anche dopo che una vulnerabilità è stata corretta, se le password non vengono mai cambiate. Le credenziali sono inoltre spesso riutilizzate su più dispositivi e servizi, quindi una password presa da uno switch può diventare una via d'accesso ad altre apparecchiature.

Ecco perché, dopo un incidente come questo, applicare la patch da sola potrebbe non bastare. Chiudere la falla ferma le nuove intrusioni attraverso di essa, ma non annulla i dati già sottratti.

Cosa significa uno zero-day per i proprietari di hardware di rete

Uno zero-day è una vulnerabilità che gli attaccanti sfruttano prima che il fornitore abbia una patch disponibile. I difensori non hanno alcun vantaggio e il primo giorno non c'è nulla da installare.

L'hardware di rete rende tutto questo più difficile per diversi motivi:

  • Gli aggiornamenti sono manuali. A differenza di uno smartphone o di un laptop, molti switch e router non si aggiornano da soli. Qualcuno deve accedere, scaricare il firmware e applicarlo.
  • I dispositivi vengono dimenticati. Uno switch nascosto in un armadio può funzionare per anni senza che nessuno lo controlli.
  • La visibilità è limitata. Questi dispositivi raramente eseguono software di sicurezza, quindi una compromissione può passare inosservata.

Quando uno zero-day colpisce questo tipo di apparecchiature, l'intervallo tra i primi attacchi e il momento in cui i proprietari applicano una patch può essere lungo. È in questo divario che si accumulano compromissioni come le quasi 1.000 qui riportate.

Come rafforzare switch e router a casa e nei piccoli uffici

Non puoi impedire a un fornitore di rilasciare un prodotto con una falla, ma puoi ridurre la probabilità che questa si trasformi in una violazione. Queste sono buone pratiche generali e valgono ben oltre Zyxel.

  1. Aggiorna il firmware. Se utilizzi uno switch della serie GS1900, controlla i canali di supporto ufficiali di Zyxel per il firmware corretto e installalo.
  2. Tieni le interfacce di gestione lontane da internet. Le pagine di amministrazione web e remota dovrebbero essere raggiungibili solo da una rete interna affidabile o da una connessione di gestione dedicata. Controlla il port forwarding e le regole del firewall del tuo router per verificare che nulla esponga lo switch.
  3. Ruota le credenziali. Cambia la password di amministrazione su qualsiasi dispositivo interessato e cambia qualsiasi altra password che fosse memorizzata o riutilizzata dalla sua configurazione. Usa una password unica e robusta per ogni dispositivo.
  4. Esamina la configurazione. Cerca account, impostazioni o modifiche che non riconosci. Se qualcosa sembra anomalo, valuta di ripristinare il dispositivo a uno stato noto come sicuro prima di riapplicare le impostazioni.
  5. Segmenta la tua rete. Mantieni separati il traffico di gestione, i dispositivi ospiti e i gadget della smart home dove il tuo hardware lo consente, così un dispositivo compromesso ha meno possibilità di propagarsi.
  6. Mantieni un inventario. Annota ogni dispositivo di rete che possiedi, il suo modello e la versione del firmware. Non puoi aggiornare ciò che hai dimenticato.

Una VPN può aiutare a proteggere il tuo traffico su reti non affidabili, ma non risolve il problema di uno switch vulnerabile presente sulla tua stessa rete. Proteggere l'hardware stesso è un'attività separata.

Cosa significa per te

Se possiedi uno switch Zyxel GS1900, considera la questione urgente. Aggiorna il firmware, assicurati che l'interfaccia di gestione non sia raggiungibile da internet e presupponi che le credenziali memorizzate su un dispositivo esposto possano essere state viste. Cambiarle è un'assicurazione a basso costo.

Se non ne possiedi uno, la lezione vale comunque. Gli home lab e i piccoli uffici spesso utilizzano lo stesso tipo di apparecchiature di rete incustodite delle grandi organizzazioni, ma con meno persone che le controllano. Gli attaccanti lo sanno, e una falla in una singola linea di prodotti può trasformarsi rapidamente in centinaia di dispositivi compromessi.

I tuoi prossimi passi

La vulnerabilità zero-day dello Zyxel GS1900 è un promemoria del fatto che l'hardware di rete merita la stessa attenzione dei tuoi computer e telefoni. Fai queste tre cose oggi:

  • Controlla il tuo firmware Zyxel e installa la versione corretta se utilizzi uno switch della serie GS1900.
  • Disabilita la gestione esposta a internet in modo che la pagina di amministrazione sia raggiungibile solo dall'interno della tua rete affidabile.
  • Ruota le tue credenziali sullo switch e su tutto ciò che ne condivideva le password.

Poi imposta un promemoria nel tuo calendario per rivedere il firmware di tutti i tuoi dispositivi di rete ogni pochi mesi. Qualche minuto di manutenzione è molto più semplice che ripulire dopo una compromissione.