Tấn công cho phép truy cập từ xa ảnh hưởng tới 200 triệu modem

14:00 | 10/02/2020 | LỖ HỔNG ATTT

Theo các nhà nghiên cứu, hiện tại trên toàn câu có hàng trăm triệu modem có thể dễ bị tấn công chiếm quyền kiểm soát bởi những tin tặc ở cách đó nửa vòng trái đất.

Tấn công cho phép truy cập từ xa ảnh hưởng tới 200 triệu modem

Các nhà nghiên cứu từ công ty bảo mật Lyrebirds (Đan Mạch) cho biết, các cuộc tấn công bắt đầu bằng cách thu hút người dùng truy cập các trang web độc hại. Các trang web này có chứa mã JavaScript độc hại được lưu trữ ngầm trên trang web, hoặc ẩn bên trong các quảng cáo. Mã JavaScript sau đó mở kết nối websocket đến modem cáp dễ bị tấn công và khai thác lỗ hổng tràn bộ đệm trong bộ phân tích phổ (spectrum analyzer) - một cấu phần phát hiện nhiễu và các vấn đề kết nối khác trên modem từ các nhà sản xuất khác nhau. Từ đó, những kẻ tấn công từ xa có thể giành quyền kiểm soát hoàn toàn các modem, cho phép chúng thay đổi cài đặt DNS, biến modem thành một phần của mạng botnet và thực hiện một loạt các hành động trái phép khác.

Lỗ hổng này được các nhà nghiên cứu đặt tên là Cable Haunt, như các nhà nghiên cứu đã đặt tên cho bản PoC tấn công. Lỗ hổng tồn tại trên các phiên bản firmware khác nhau của các modem cáp: Sagemcom F@st 3890, Sagemcom F@st 3686, Technolor TC7230, Netgear C6250EMR và Netgear CG3700EMR.

Kiểu tấn công này cũng có thể hoạt động với Compal 7284E và Compal 7486E. Do máy chủ phân tích phổ tồn tại trên các modem cáp khác, nên việc khai thác cũng có khả năng hoạt động trên các dòng modem khác. Bản PoC tấn công của Lyrebirds hoạt động tốt với Technolor TC7230 và Sagemcom F@st 8690. Với một số tinh chỉnh, mã tấn công sẽ hoạt động trên các loại modem khác được liệt kê là dễ bị tấn công. Lỗ hổng được gán mã định danh CVE-2019-19494. Một lỗ hổng cụ thể hơn chỉ bị khai thác trên modem Technicolor TC7230 được gán mã định danh CVE-2019-19495.

“Lỗ hổng cho phép kẻ tấn công từ xa có thể kiểm soát hoàn toàn modem cáp, thông qua một điểm cuối trên modem”, các nhà nghiên cứu của Lyrebirds cho biết. “Modem cáp của người dùng có chức năng trao đổi lưu lượng truy cập Internet cho tất cả các thiết bị trên mạng. Do đó, lỗ hổng Cable Haunt có thể bị khai thác để chặn tin nhắn riêng tư, chuyển hướng lưu lượng truy cập hoặc tham gia mạng botnet”.

Có ít nhất hai cách khai thác để có thể có được quyền truy cập từ xa, tức là khai thác từ Internet bởi một kẻ tấn công nằm ngoài mạng cục bộ.

Cách đầu tiên và đơn giản nhất là dùng JavaScript độc hại khiến trình duyệt có thể kết nối với modem. Thông thường, một cơ chế được gọi là chia sẻ tài nguyên nguồn gốc chéo (cross-origin resource sharing - CORS) ngăn ứng dụng web từ một trang (chẳng hạn như tox.example.com) hoạt động trên một trang khác (chẳng hạn như 192.168.100.1, địa chỉ được sử dụng bởi hầu hết hoặc tất cả các modem dễ bị tấn công).

Tuy nhiên, websocket không được bảo vệ bởi CORS. Do đó, các modem sẽ chấp nhận JavaScript từ xa, cho phép kẻ tấn công tiếp cận điểm cuối và cung cấp mã cho nó. Khi khai thác Cable Haunt bằng cách truy cập modem thông qua trình duyệt, cuộc tấn công có thể đến từ bất kỳ nơi nào mà mã lệnh đang thực thi có thể truy cập IP trên mạng cục bộ.

Cuộc tấn công không hoạt động khi mục tiêu sử dụng trình duyệt Firefox, vì websocket được sử dụng bởi trình duyệt đó không tương thích với websocket được sử dụng bởi bộ phân tích phổ. Tin tặc vẫn có thể thực hiện tấn công từ xa bằng cách sử dụng JavaScript với kiểu tấn công DNS rebinding. Để bỏ qua chính sách same origin policy - một hạn chế ngăn chặn mã được cung cấp từ một tên miền thực thi trên một tên miền khác, tấn công DNS rebinding chiếm quyền kiểm soát các bảng DNS bên trong mạng cục bộ. Vì địa chỉ tên miền của trang tấn công được ánh xạ tới IP của modem dễ bị tấn công, nên sẽ có thể thực thi mã tấn công bằng JavaScript.

Bên cạnh lỗ hổng tràn bộ đệm, tấn công có thể xảy ra do thông tin đăng nhập mặc định đã biết được sử dụng để thực thi mã trên modem. Các thông tin đăng nhập mặc định này được thêm vào URL được mã tấn công sử dụng, ví dụ: http://username:password@malicy.example.com. Nhà đồng sáng lập Lyrebirds Kasper Tendrup cho biết, ông tin rằng có những phương pháp khác để có thể tấn công từ xa.

Bản PoC tấn công sử dụng các kỹ thuật thông minh khác để khai thác lỗ hổng. Do cấu trúc bộ nhớ của ngôn ngữ assembly MIPS thực thi bộ phân tích phổ, nên mã tấn công phải biết địa chỉ bộ nhớ chính xác để tấn công (thông thường, khai thác tràn bộ đệm sẽ được ghi trực tiếp vào ngăn xếp bộ nhớ). Để vượt qua sự hạn chế bởi cấu trúc bộ nhớ này, khai thác lỗ hổng Cable Haunt sử dụng Return Oriented Programming để di chuyển giữa các đoạn mã có sẵn và sau đó sửa đổi mã hiện có.

Khi kẻ tấn công khai thác lỗ hổng, chúng sẽ gửi lệnh đến máy chủ telnet của modem để cài đặt lớp reverse shell. Từ đó, kẻ tấn công có thể thực hiện các hành vi độc hại, bao gồm thay đổi cài đặt DNS, cài đặt firmware hoàn toàn mới, khiến modem tham gia vào mạng botnet và giám sát dữ liệu không được mã hóa đi qua modem.

Nghiên cứu của Lyrebirds cho thấy, khai thác lỗ hổng Cable Haunt có thể hoạt động trên khoảng 200 triệu modem chỉ riêng ở châu Âu. Tấn công có thể hoạt động trên một số lượng lớn hơn các modem trên toàn thế giới. Việc xác định xem một modem có nằm trong danh sách dễ bị tấn công hay không khá phức tạp với người dùng thông thường vì yêu cầu thực thi mã PoC trên thiết bị. Việc phát hiện các modem bị tấn công cũng khó khăn vì có nhiều cách để che giấu tấn công một khi tin tặc có quyền root trên thiết bị.

Cable Haunt là một lỗ hổng nghiêm trọng cần khẩn trương được vá. Trước khi có phản hồi chính thức từ nhà sản xuất thiết bị, người dùng cần chủ động kiểm tra với nhà sản xuất thiết bị hoặc ISP đã phát hành nó để vá lỗ hổng, phòng tránh khả năng bị tấn công.

Nguyễn Anh Tuấn

Theo Ars Technica

‹ › ×

Tin liên quan

Phát hiện lỗ hổng nghiêm trọng trong plugin WordPress của 400.000 website

22:00 | 26/01/2020

Mới đây, các lỗ hổng nghiêm trọng trong 3 plugin WordPress đã được các chuyên gia phát hiện. Các plugin này bao gồm InfiniteWP, WP Time Capsule và WP Database Reset đã được cài đặt trên tổng cộng 400.000 website.

Thiết lập bảo mật mức cao khiến làm việc từ xa trở thành bất khả thi

09:00 | 25/03/2020

Một trong những quy tắc an toàn hệ thống là nếu hệ thống càng nhạy cảm, thì càng hạn chế kết nối Internet. Nhưng khi Mỹ ngăn chặn sự lây lan của Covid-19, các biện pháp an ninh mạng đặt ra thách thức kỹ thuật đối với làm việc từ xa cho nhân viên tại các cơ sở hạ tầng quan trọng, các cơ quan tình báo và bất cứ nơi nào khác có mạng lưới bảo mật cao. Trong một số trường hợp, làm việc tại nhà trở nên bất khả thi.

Working from Home – những rủi ro an ninh mạng cần phòng tránh

11:00 | 16/04/2020

Làm việc tại nhà (Working from Home - WFH) là một cụm từ thường được nhắc đến trong bối cảnh dịch Covid-19 đang có dấu hiệu gia tăng nhanh. Nhiều công ty đã áp dụng việc hạn chế tiếp xúc bằng cách cho phép nhân viên làm việc từ xa. Trên thực tế, không chỉ khi có dịch Covid-19 thì mới phát sinh nhu cầu làm việc từ xa, mà nó bắt nguồn từ các nhu cầu thực tế như: các nhân viên kinh doanh không ở văn phòng hay lãnh đạo các công ty thường xuyên đi công tác...

Sử dụng giải pháp kiểm soát truy cập điện tử

13:00 | 17/02/2021

Trong bối cảnh công nghệ luôn thay đổi, việc nắm bắt các giải pháp và khả năng bảo mật hiện đại là một thách thức lớn đối với người dùng. Ngày nay, những người có quyền ra quyết định làm việc trong lĩnh vực bảo mật sẽ có nhiệm vụ phân loại thông qua hàng loạt các dịch vụ và giới thiệu công nghệ mới. Việc chuyển đổi sang các hệ thống hoặc giải pháp mới có thể sẽ gặp khó khăn khi nhiều chuyên gia vẫn yên tâm với các sản phẩm đã được thử nghiệm và được kiểm nghiệm thực tế, hoặc họ chưa biết được những lợi ích và sự dễ dàng khi áp dụng các giải pháp hiện đại. Chuyển đổi từ các giải pháp bảo mật cơ học sang kiểm soát truy cập điện tử (electronic access control - EAC) là giải pháp thích hợp.

Đảm bảo truy cập an toàn ứng dụng của doanh nghiệp

08:00 | 02/01/2020

Việc đảm bảo truy cập an toàn vào các ứng dụng có vai trò rất quan trọng đối với các tổ chức, doanh nghiệp (TC/DN) hiện nay. Tuy nhiên, để thực hiện được điều này các TC/DN phải đối mặt với rất nhiều khó khăn và thách thức.

Phân tích mã độc khai thác lỗ hổng Microsoft Office Equation Editor

10:00 | 21/01/2020

Mã độc khai thác lỗ hổng Microsoft Office Equation Editor từng được tin tặc sử dụng trong các cuộc tấn công nhằm phát tán backdoor, chiếm quyền điều khiển từ xa hệ thống. Mới đây, các chuyên gia của Công ty An ninh mạng Viettel đã tiến hành phân tích mẫu mã độc này.

Tin cùng chuyên mục

Tấn công phishing với công cụ EVILGINX: mối đe dọa tiềm tàng

14:00 | 23/02/2024

Trong thời đại kỹ thuật số phát triển như hiện nay, tấn công phishing đã trở thành một mối đe dọa rất khó phòng tránh đối với người dùng mạng. Theo báo cáo của Tổ chức toàn cầu về chống lừa đảo trên mạng (Anti-Phishing Working Group), trong quý IV/2022, đã có hơn 304.000 trang web phishing được phát hiện, lừa đảo hơn 300 triệu người dùng trên toàn cầu. Đáng chú ý, số lượng trang web phishing đã tăng lên 6,9% so với quý trước, đạt mức cao nhất trong vòng 5 năm. Các cuộc tấn công phishing nhắm vào các tổ chức tài chính, ngân hàng và thanh toán trực tuyến chiếm 42,4% tổng số các cuộc tấn công. Số lượng các tên miền giả mạo đã tăng lên 11,5% so với quý III/2022, đạt mức cao nhất trong vòng 3 năm. Trong bối cảnh như vậy, việc nâng cao nhận thức và có các biện pháp đối phó với tấn công phishing là rất quan trọng.

Biến thể mới của Trojan ngân hàng Android Chameleon có khả năng vượt qua xác thực sinh trắc học

07:00 | 08/01/2024

Mới đây, các nhà nghiên cứu an ninh mạng tới từ công ty bảo mật di động ThreatFabric (Hà Lan) cho biết một phiên bản cập nhật mới của Trojan ngân hàng Android có tên là Chameleon đang mở rộng mục tiêu nhắm tới người dùng ở Anh và Ý. Trojan này được phân phối thông qua Zombinder - một loại phần mềm Dropper dưới dạng dịch vụ (DaaS). Bài viết này sẽ tập trung phân tích biến thể mới của Chameleon với khả năng đặc biệt vượt qua tính năng xác thực sinh trắc học.

Hãng viễn thông lớn nhất Ukraine bị tấn công mạng

15:00 | 18/12/2023

Ngày 12/12, Kyivstar - nhà mạng lớn nhất Ukraine hứng chịu một cuộc tấn công mạng lớn, khiến hàng triệu người dùng mất kết nối di động và Internet. Đáng chú ý sự cố gây ảnh hưởng đến hệ thống cảnh báo không kích của nước này.

Giải mã phần mềm độc hại SugarGh0st RAT mới nhắm vào Chính phủ Uzbekistan và người dùng tại Hàn Quốc

12:00 | 15/12/2023

Các nhà nghiên cứu của công ty an ninh mạng Cisco Talos gần đây đã phát hiện một chiến dịch độc hại có khả năng bắt đầu từ tháng 8/2023, phát tán một Trojan truy cập từ xa (RAT) mới có tên gọi là “SugarGh0st”. Cisco Talos cho biết các tin tặc nhắm mục tiêu vào Bộ Ngoại giao Uzbekistan và người dùng tại Hàn Quốc đồng thời quy kết hoạt động này cho tin tặc Trung Quốc.