Zyxel załatał lukę zero-day w swoich przełącznikach sieciowych serii GS1900, którą atakujący wykorzystali do przejęcia niemal 1000 urządzeń na całym świecie. Według doniesień BleepingComputer hakerzy użyli tej luki do kradzieży plików konfiguracyjnych i danych uwierzytelniających. Jeśli używasz jednego z tych przełączników w domu, w małym biurze lub w domowym laboratorium, luka zero-day w Zyxel GS1900 jest dobrym powodem, by jeszcze dziś sprawdzić swoje oprogramowanie układowe.

Co się stało z przełącznikami Zyxel GS1900

Znane dotąd fakty są proste. Wcześniej nieznana luka w serii GS1900 była wykorzystywana, zanim istniała poprawka. Atakujący użyli jej, by włamać się do blisko 1000 urządzeń na całym świecie i wykraść poufne dane, konkretnie pliki konfiguracyjne i dane uwierzytelniające. Zyxel udostępnił teraz poprawkę.

Źródłowe doniesienie nie podaje w tym miejscu pełnego technicznego opisu, więc nie będziemy spekulować, jak działa exploit ani kto za nim stoi. Dla właścicieli liczy się prosta kwestia: luka została użyta w rzeczywistych atakach, poprawka jest już dostępna, a niezałatane urządzenia pozostają narażone.

Dlaczego skradzione konfiguracje i dane uwierzytelniające są tak niebezpieczne

Przełącznik może wydawać się nudnym elementem infrastruktury, ale znajduje się w centrum sieci. Jego plik konfiguracyjny jest w praktyce mapą tej sieci i może zawierać szczegóły dotyczące sposobu połączenia urządzeń oraz zarządzania przełącznikiem.

Dane uwierzytelniające pogarszają sprawę. Skradzione dane logowania mogą pozwolić atakującemu wrócić później, nawet po załataniu luki, jeśli hasła nigdy nie zostaną zmienione. Dane uwierzytelniające są też często ponownie wykorzystywane w różnych urządzeniach i usługach, więc hasło pozyskane z jednego przełącznika może stać się drogą do innych urządzeń.

Dlatego same aktualizacje mogą nie wystarczyć po incydencie takim jak ten. Zamknięcie dziury zatrzymuje nowe wtargnięcia przez tę lukę, ale nie cofa danych, które już zostały wykradzione.

Co oznacza zero-day dla właścicieli sprzętu sieciowego

Zero-day to luka, którą atakujący wykorzystują, zanim dostawca udostępni poprawkę. Obrońcy nie mają przewagi czasu i pierwszego dnia nie ma czego zainstalować.

Sprzęt sieciowy dodatkowo to utrudnia pod kilkoma względami:

  • Aktualizacje są ręczne. W przeciwieństwie do telefonu czy laptopa wiele przełączników i routerów nie aktualizuje się samo. Ktoś musi się zalogować, pobrać oprogramowanie układowe i je zastosować.
  • Urządzenia popadają w zapomnienie. Przełącznik wetknięty w szafę może działać latami, podczas gdy nikt na niego nie patrzy.
  • Widoczność jest ograniczona. Te urządzenia rzadko uruchamiają oprogramowanie bezpieczeństwa, więc przejęcie może pozostać niezauważone.

Gdy zero-day pojawia się w tego rodzaju sprzęcie, okno między pierwszymi atakami a momentem zastosowania poprawki przez właścicieli może być długie. Właśnie w tej luce kumulują się przejęcia takie jak niemal 1000 zgłoszonych tutaj przypadków.

Jak wzmocnić przełączniki i routery w domu i w małych biurach

Nie zapobiegnię temu, że dostawca wypuści wadliwe oprogramowanie, ale możesz zmniejszyć szanse, że jedna luka stanie się naruszeniem bezpieczeństwa. To ogólne najlepsze praktyki i mają zastosowanie znacznie szersze niż Zyxel.

  1. Zaktualizuj oprogramowanie układowe. Jeśli używasz przełącznika serii GS1900, sprawdź oficjalne kanały wsparcia Zyxel i zainstaluj załatane oprogramowanie układowe.
  2. Trzymaj interfejsy zarządzania poza internetem. Strony administracji webowej i zdalnej powinny być dostępne wyłącznie z zaufanej sieci wewnętrznej lub dedykowanego połączenia zarządzającego. Sprawdź przekierowanie portów i reguły zapory routera, aby potwierdzić, że nic nie wystawia przełącznika.
  3. Zmieniaj dane uwierzytelniające. Zmień hasło administratora na każdym affected urządzeniu i zmień wszystkie inne hasła, które były przechowywane w jego konfiguracji lub z niej ponownie wykorzystywane. Używaj unikalnego, silnego hasła dla każdego urządzenia.
  4. Przejrzyj konfigurację. Poszukaj kont, ustawień lub zmian, których nie rozpoznajesz. Jeśli coś wygląda podejrzanie, rozważ przywrócenie urządzenia do znanego dobrego stanu przed ponownym zastosowaniem ustawień.
  5. Segmentuj sieć. Oddziel ruch zarządzający, urządzenia gości i gadżety inteligentnego domu tam, gdzie pozwala na to sprzęt, aby jedno przejęte urządzenie miało mniejszy zasięg.
  6. Prowadź inwentarz. Zapisz każde posiadane urządzenie sieciowe, jego model i wersję oprogramowania układowego. Nie można załatać tego, o czym się zapomniało.

VPN może pomóc chronić ruch w niezaufanych sieciach, ale nie naprawia podatnego przełącznika znajdującego się we własnej sieci. Zabezpieczenie samego sprzętu to osobne zadanie.

Co to oznacza dla Ciebie

Jeśli posiadasz przełącznik Zyxel GS1900, potraktuj to jako sprawę pilną. Zaktualizuj oprogramowanie układowe, upewnij się, że interfejs zarządzania nie jest osiągalny z internetu, i załóż, że dane uwierzytelniające przechowywane na wystawionym urządzeniu mogły zostać przejęte. Ich zmiana to tanie ubezpieczenie.

Jeśli go nie posiadasz, lekcja nadal obowiązuje. Domowe laboratoria i małe biura często używają tego samego rodzaju nadzorowanego sprzętu sieciowego co większe organizacje, ale z mniejszą liczbą osób, które go pilnują. Atakujący o tym wiedzą, a luka w jednej linii produktów może szybko zamienić się w setki przejętych urządzeń.

Twoje kolejne kroki

Luka zero-day w Zyxel GS1900 to przypomnienie, że sprzęt sieciowy zasługuje na taką samą uwagę jak komputery i telefony. Zrób dziś te trzy rzeczy:

  • Sprawdź oprogramowanie układowe Zyxel i zainstaluj załataną wersję, jeśli używasz przełącznika serii GS1900.
  • Wyłącz zarządzanie wystawione na internet, aby strona administracyjna była osiągalna tylko z wnętrza zaufanej sieci.
  • Zmień dane uwierzytelniające na przełączniku i na wszystkim, co współdzieliło jego hasła.

Potem ustaw w kalendarzu przypomnienie o przeglądzie oprogramowania układowego wszystkich urządzeń sieciowych co kilka miesięcy. Kilka minut konserwacji jest znacznie łatwiejsze niż sprzątanie po przejęciu.