Zyxel đã vá một lỗ hổng zero-day trong dòng switch mạng GS1900 của mình mà kẻ tấn công đã khai thác để xâm nhập gần 1.000 thiết bị trên toàn thế giới. Theo báo cáo từ BleepingComputer, tin tặc đã lợi dụng lỗ hổng này để đánh cắp các tệp cấu hình và thông tin đăng nhập. Nếu bạn đang vận hành một trong những switch này tại nhà, trong văn phòng nhỏ hoặc trong phòng lab tại nhà, lỗ hổng zero-day trên Zyxel GS1900 là lý do chính đáng để kiểm tra firmware của bạn ngay hôm nay.
Điều gì đã xảy ra với các switch Zyxel GS1900
Các thông tin hiện có cho đến nay khá rõ ràng. Một lỗ hổng chưa từng được biết đến trong dòng GS1900 đã bị khai thác trước khi có bản vá. Kẻ tấn công đã lợi dụng nó để xâm nhập gần 1.000 thiết bị trên khắp thế giới và lấy đi dữ liệu nhạy cảm, cụ thể là các tệp cấu hình và thông tin đăng nhập. Zyxel hiện đã phát hành bản vá.
Nguồn tin không đưa ra phân tích kỹ thuật đầy đủ ở đây, vì vậy chúng tôi sẽ không suy đoán về cách thức hoạt động của khai thác hoặc ai đứng sau nó. Điều quan trọng đối với chủ sở hữu rất đơn giản: lỗ hổng đã được sử dụng trong các cuộc tấn công thực tế, bản vá hiện đã có sẵn, và các thiết bị chưa được vá vẫn đang bị phơi nhiễm.
Tại sao cấu hình và thông tin đăng nhập bị đánh cắp lại nguy hiểm đến vậy
Một switch có vẻ như chỉ là một thiết bị hạ tầng nhàm chán, nhưng nó nằm ở trung tâm của một mạng. Tệp cấu hình của nó thực chất là một bản đồ của mạng đó, và nó có thể chứa thông tin chi tiết về cách các thiết bị được kết nối và cách switch được quản lý.
Thông tin đăng nhập làm vấn đề trở nên tồi tệ hơn. Thông tin đăng nhập bị đánh cắp có thể cho phép kẻ tấn công quay lại sau này, ngay cả sau khi lỗ hổng đã được vá, nếu mật khẩu không bao giờ được thay đổi. Thông tin đăng nhập cũng thường được tái sử dụng trên nhiều thiết bị và dịch vụ, vì vậy một mật khẩu bị lấy từ một switch có thể trở thành con đường xâm nhập vào các thiết bị khác.
Đây là lý do tại sao chỉ vá thôi có thể không đủ sau một sự cố như thế này. Việc bịt lỗ hổng ngăn chặn các xâm nhập mới thông qua lỗ hổng đó, nhưng nó không hoàn tác dữ liệu đã bị lấy đi.
Zero-day có ý nghĩa gì đối với chủ sở hữu phần cứng mạng
Zero-day là một lỗ hổng mà kẻ tấn công khai thác trước khi nhà cung cấp có bản vá. Những người phòng thủ không có lợi thế đi trước, và không có gì để cài đặt vào ngày đầu tiên.
Phần cứng mạng khiến điều này khó khăn hơn theo một vài cách:
- Cập nhật là thủ công. Không giống như điện thoại hay laptop, nhiều switch và router không tự cập nhật. Ai đó phải đăng nhập, tải firmware và áp dụng nó.
- Thiết bị bị lãng quên. Một chiếc switch được đặt trong tủ có thể hoạt động trong nhiều năm mà không ai để ý đến.
- Khả năng hiển thị bị hạn chế. Những thiết bị này hiếm khi chạy phần mềm bảo mật, vì vậy một vụ xâm nhập có thể không bị phát hiện.
Khi một zero-day rơi vào loại thiết bị này, khoảng thời gian giữa các cuộc tấn công đầu tiên và thời điểm chủ sở hữu áp dụng bản vá có thể kéo dài. Chính khoảng trống đó là nơi các vụ xâm nhập như gần 1.000 trường hợp được báo cáo ở đây tích tụ.
Cách tăng cường bảo mật switch và router tại nhà và trong văn phòng nhỏ
Bạn không thể ngăn nhà cung cấp phát hành một sản phẩm có lỗ hổng, nhưng bạn có thể giảm khả năng nó trở thành một vụ xâm nhập. Đây là các thực tiễn tốt nhất chung, và chúng áp dụng rộng rãi hơn cả Zyxel.
- Cập nhật firmware. Nếu bạn sử dụng switch dòng GS1900, hãy kiểm tra các kênh hỗ trợ chính thức của Zyxel để tìm firmware đã được vá và cài đặt nó.
- Giữ giao diện quản lý tách khỏi internet. Các trang quản trị web và từ xa chỉ nên có thể truy cập từ một mạng nội bộ đáng tin cậy hoặc một kết nối quản lý chuyên dụng. Kiểm tra chuyển tiếp cổng và quy tắc tường lửa của router để xác nhận không có gì làm lộ switch.
- Xoay vòng thông tin đăng nhập. Thay đổi mật khẩu quản trị trên bất kỳ thiết bị bị ảnh hưởng nào, và thay đổi bất kỳ mật khẩu nào khác được lưu trữ trong hoặc tái sử dụng từ cấu hình của nó. Sử dụng một mật khẩu mạnh và duy nhất cho mỗi thiết bị.
- Xem lại cấu hình. Tìm các tài khoản, cài đặt hoặc thay đổi mà bạn không nhận ra. Nếu có gì đó không ổn, hãy cân nhắc khôi phục thiết bị về trạng thái đã biết là tốt trước khi áp dụng lại cài đặt.
- Phân đoạn mạng của bạn. Giữ lưu lượng quản lý, thiết bị khách và các thiết bị nhà thông minh tách biệt nơi phần cứng của bạn cho phép, để một thiết bị bị xâm nhập có ít phạm vi ảnh hưởng hơn.
- Duy trì danh mục kiểm kê. Ghi lại mọi thiết bị mạng bạn sở hữu, kiểu máy và phiên bản firmware của nó. Bạn không thể vá những gì bạn đã quên.
VPN có thể giúp bảo vệ lưu lượng của bạn trên các mạng không đáng tin cậy, nhưng nó không khắc phục được một switch dễ bị tổn thương nằm trên chính mạng của bạn. Bảo mật phần cứng là một công việc riêng biệt.
Điều này có ý nghĩa gì với bạn
Nếu bạn sở hữu một switch Zyxel GS1900, hãy coi đây là vấn đề cần xử lý ngay. Cập nhật firmware, đảm bảo giao diện quản lý không thể truy cập từ internet, và giả định rằng thông tin đăng nhập được lưu trữ trên một thiết bị bị phơi nhiễm có thể đã bị nhìn thấy. Thay đổi chúng là một biện pháp bảo hiểm rẻ.
Nếu bạn không sở hữu một chiếc nào, bài học vẫn áp dụng. Phòng lab tại nhà và văn phòng nhỏ thường vận hành cùng loại thiết bị mạng không người trông coi như các tổ chức lớn hơn, nhưng với ít người theo dõi hơn. Kẻ tấn công biết điều đó, và một lỗ hổng trong một dòng sản phẩm duy nhất có thể nhanh chóng biến thành hàng trăm thiết bị bị xâm nhập.
Các bước tiếp theo của bạn
Lỗ hổng zero-day trên Zyxel GS1900 là lời nhắc nhở rằng phần cứng mạng xứng đáng nhận được sự quan tâm giống như máy tính và điện thoại của bạn. Hãy làm ba việc này ngay hôm nay:
- Kiểm tra firmware Zyxel của bạn và cài đặt phiên bản đã được vá nếu bạn đang vận hành switch dòng GS1900.
- Tắt quản lý hướng ra internet để trang quản trị chỉ có thể truy cập từ bên trong mạng đáng tin cậy của bạn.
- Xoay vòng thông tin đăng nhập trên switch và trên bất kỳ thứ gì đã chia sẻ mật khẩu của nó.
Sau đó đặt một lời nhắc trong lịch của bạn để xem lại firmware trên tất cả các thiết bị mạng của bạn vài tháng một lần. Vài phút bảo trì dễ dàng hơn nhiều so với việc dọn dẹp hậu quả sau một vụ xâm nhập.
