Aanvallers openen via UPnP-lek SMB-poorten op 45.000 routers

[Captain Kirk]

Aanvallers gebruiken een UPnP-lek in allerlei populaire thuisrouters om de SMB-poorten voor het internet te openen, zodat de achtergelegen machines in het netwerk kunnen worden aangevallen. Hierdoor zouden naar schatting 1,7 miljoen machines mogelijk risico lopen, zo laat internetgigant Akamai weten.

Universal Plug and Play (UPnP) is een veelgebruikt protocol dat het eenvoudiger voor apparaten in een netwerk moet maken om met het internet of andere apparaten op het netwerk te communiceren. De kwetsbaarheid wordt veroorzaakt doordat de routers bepaalde diensten via hun WAN-interface voor het internet beschikbaar stellen, terwijl deze diensten eigenlijk alleen voor de apparaten op het LAN toegankelijk zouden moeten zijn.

Via deze blootgestelde diensten kan een aanvaller NAT-vermeldingen aan de router toevoegen en in sommige gevallen machines achter de router benaderen. In andere gevallen kan een aanvaller "Internet-routable hosts" aan de NAT-tabel toevoegen, waardoor de router als een proxy-server fungeert. In april waarschuwde Akamai al voor aanvallen waarbij kwetsbare routers als proxy werden gebruikt.

Nu meldt de internetgigant dat aanvallers poort 139 en 445 op de router openzetten. Dit zijn de poorten die door Microsoft SMB worden gebruikt. De WannaCry-ransomware verspreidde zich bijvoorbeeld via een kwetsbaarheid in Microsofts SMB-service. Akamai speculeert dat de aanvallers de SMB-poorten openzetten om machines via hetzelfde beveiligingslek aan te vallen.

Volgens Akamai zijn er 277.000 routers met een kwetsbare UPnP-implementatie en zijn bij 45.000 routers daarvan de SMB-poorten opengezet. Op basis van het aantal unieke ip-adressen dat per router werd waargenomen schat Akamai dat 1,7 miljoen achterliggende machines mogelijk risico lopen. Eigenaren van een kwetsbare router krijgen het advies om UPnP uit te schakelen of een nieuwe router te kopen. In deze pdf staat een overzicht van kwetsbare modellen.

 

 

bron: security.nl