Inlichtingendiensten waarschuwen organisaties wereldwijd voor gehackte routers

[Captain Kirk]

Inlichtingendiensten uit allerlei landen, waaronder ook Nederland, hebben vandaag telecombedrijven, internetproviders en andere bedrijven gewaarschuwd voor gehackte routers. Verschillende door de Chinese overheid gesponsorde groepen zouden achter de aanvallen zitten, aldus de AIVD, MIVD en andere inlichtingendiensten en cyberagentschappen uit Australië, Canada, Nieuw-Zeeland, Verenigd Koninkrijk, Verenigde Staten, Tsjechië, Finland, Duitsland, Italië, Japan, Polen en Spanje.

Volgens de diensten hebben de aanvallers het voorzien op backbone routers van grote telecomproviders, alsmede provider edge (PE) en customer edge (CE) routers. Om toegang tot de routers te krijgen maken de aanvallers gebruik van bekende kwetsbaarheden in Ivanti Connect Secure, Palo Alto Networks PAN-OS en Cisco IOS. De diensten vermoeden echter dat ook andere apparaten, zoals Fortinet firewalls, Juniper firewalls, Microsoft Exchange servers, Nokia routers en switches, Sierra Wireless devices en Sonicwall firewalls het doelwit zijn. Er zijn geen aanwijzingen gevonden dat bij de aanvallen misbruik is gemaakt van zerodaylekken.

De aanvallers proberen via de gecompromitteerde routers achterliggende netwerken te compromitteren en verkeer op te slaan, zo laat de waarschuwing weten. Daarnaast wijzigen de aanvallers Access Control Lists en voegen ip-adressen toe, worden standaard en niet-standaard poorten voor allerlei diensten (SSH, RDP en SFTP) opengezet, wordt de webinterface ingeschakeld of geherconfigureerd om op andere poorten te draaien en schakelen de aanvallers op Cisco-apparaten de HTTP/HTTPS-server in.

In de waarschuwing geven de inlichtingendiensten ook Indicators of Compromise (IoC's) waarmee organisaties kunnen kijken of hun systemen zijn gecompromitteerd. Ook wordt "threat hunting" advies gegeven voor het detecteren van aanvallers, zoals het monitoren van configuratieaanpassingen, gevirtualiseerde containers, netwerkservices en -tunnels, firmware en logbestanden. Als laatste volgen aanbevelingen en hardening maatregelen, waaronder het uitschakelen van telnet, het implementeren van logging en uitschakelen van de Cisco Smart Install feature.

 

bron: https://www.security.nl