Tấn công cho phép truy cập từ xa ảnh hưởng tới 200 triệu modem

14:00 | 10/02/2020 | LỖ HỔNG ATTT

Theo các nhà nghiên cứu, hiện tại trên toàn câu có hàng trăm triệu modem có thể dễ bị tấn công chiếm quyền kiểm soát bởi những tin tặc ở cách đó nửa vòng trái đất.

Tấn công cho phép truy cập từ xa ảnh hưởng tới 200 triệu modem

Các nhà nghiên cứu từ công ty bảo mật Lyrebirds (Đan Mạch) cho biết, các cuộc tấn công bắt đầu bằng cách thu hút người dùng truy cập các trang web độc hại. Các trang web này có chứa mã JavaScript độc hại được lưu trữ ngầm trên trang web, hoặc ẩn bên trong các quảng cáo. Mã JavaScript sau đó mở kết nối websocket đến modem cáp dễ bị tấn công và khai thác lỗ hổng tràn bộ đệm trong bộ phân tích phổ (spectrum analyzer) - một cấu phần phát hiện nhiễu và các vấn đề kết nối khác trên modem từ các nhà sản xuất khác nhau. Từ đó, những kẻ tấn công từ xa có thể giành quyền kiểm soát hoàn toàn các modem, cho phép chúng thay đổi cài đặt DNS, biến modem thành một phần của mạng botnet và thực hiện một loạt các hành động trái phép khác.

Lỗ hổng này được các nhà nghiên cứu đặt tên là Cable Haunt, như các nhà nghiên cứu đã đặt tên cho bản PoC tấn công. Lỗ hổng tồn tại trên các phiên bản firmware khác nhau của các modem cáp: Sagemcom F@st 3890, Sagemcom F@st 3686, Technolor TC7230, Netgear C6250EMR và Netgear CG3700EMR.

Kiểu tấn công này cũng có thể hoạt động với Compal 7284E và Compal 7486E. Do máy chủ phân tích phổ tồn tại trên các modem cáp khác, nên việc khai thác cũng có khả năng hoạt động trên các dòng modem khác. Bản PoC tấn công của Lyrebirds hoạt động tốt với Technolor TC7230 và Sagemcom F@st 8690. Với một số tinh chỉnh, mã tấn công sẽ hoạt động trên các loại modem khác được liệt kê là dễ bị tấn công. Lỗ hổng được gán mã định danh CVE-2019-19494. Một lỗ hổng cụ thể hơn chỉ bị khai thác trên modem Technicolor TC7230 được gán mã định danh CVE-2019-19495.

“Lỗ hổng cho phép kẻ tấn công từ xa có thể kiểm soát hoàn toàn modem cáp, thông qua một điểm cuối trên modem”, các nhà nghiên cứu của Lyrebirds cho biết. “Modem cáp của người dùng có chức năng trao đổi lưu lượng truy cập Internet cho tất cả các thiết bị trên mạng. Do đó, lỗ hổng Cable Haunt có thể bị khai thác để chặn tin nhắn riêng tư, chuyển hướng lưu lượng truy cập hoặc tham gia mạng botnet”.

Có ít nhất hai cách khai thác để có thể có được quyền truy cập từ xa, tức là khai thác từ Internet bởi một kẻ tấn công nằm ngoài mạng cục bộ.

Cách đầu tiên và đơn giản nhất là dùng JavaScript độc hại khiến trình duyệt có thể kết nối với modem. Thông thường, một cơ chế được gọi là chia sẻ tài nguyên nguồn gốc chéo (cross-origin resource sharing - CORS) ngăn ứng dụng web từ một trang (chẳng hạn như tox.example.com) hoạt động trên một trang khác (chẳng hạn như 192.168.100.1, địa chỉ được sử dụng bởi hầu hết hoặc tất cả các modem dễ bị tấn công).

Tuy nhiên, websocket không được bảo vệ bởi CORS. Do đó, các modem sẽ chấp nhận JavaScript từ xa, cho phép kẻ tấn công tiếp cận điểm cuối và cung cấp mã cho nó. Khi khai thác Cable Haunt bằng cách truy cập modem thông qua trình duyệt, cuộc tấn công có thể đến từ bất kỳ nơi nào mà mã lệnh đang thực thi có thể truy cập IP trên mạng cục bộ.

Cuộc tấn công không hoạt động khi mục tiêu sử dụng trình duyệt Firefox, vì websocket được sử dụng bởi trình duyệt đó không tương thích với websocket được sử dụng bởi bộ phân tích phổ. Tin tặc vẫn có thể thực hiện tấn công từ xa bằng cách sử dụng JavaScript với kiểu tấn công DNS rebinding. Để bỏ qua chính sách same origin policy - một hạn chế ngăn chặn mã được cung cấp từ một tên miền thực thi trên một tên miền khác, tấn công DNS rebinding chiếm quyền kiểm soát các bảng DNS bên trong mạng cục bộ. Vì địa chỉ tên miền của trang tấn công được ánh xạ tới IP của modem dễ bị tấn công, nên sẽ có thể thực thi mã tấn công bằng JavaScript.

Bên cạnh lỗ hổng tràn bộ đệm, tấn công có thể xảy ra do thông tin đăng nhập mặc định đã biết được sử dụng để thực thi mã trên modem. Các thông tin đăng nhập mặc định này được thêm vào URL được mã tấn công sử dụng, ví dụ: http://username:password@malicy.example.com. Nhà đồng sáng lập Lyrebirds Kasper Tendrup cho biết, ông tin rằng có những phương pháp khác để có thể tấn công từ xa.

Bản PoC tấn công sử dụng các kỹ thuật thông minh khác để khai thác lỗ hổng. Do cấu trúc bộ nhớ của ngôn ngữ assembly MIPS thực thi bộ phân tích phổ, nên mã tấn công phải biết địa chỉ bộ nhớ chính xác để tấn công (thông thường, khai thác tràn bộ đệm sẽ được ghi trực tiếp vào ngăn xếp bộ nhớ). Để vượt qua sự hạn chế bởi cấu trúc bộ nhớ này, khai thác lỗ hổng Cable Haunt sử dụng Return Oriented Programming để di chuyển giữa các đoạn mã có sẵn và sau đó sửa đổi mã hiện có.

Khi kẻ tấn công khai thác lỗ hổng, chúng sẽ gửi lệnh đến máy chủ telnet của modem để cài đặt lớp reverse shell. Từ đó, kẻ tấn công có thể thực hiện các hành vi độc hại, bao gồm thay đổi cài đặt DNS, cài đặt firmware hoàn toàn mới, khiến modem tham gia vào mạng botnet và giám sát dữ liệu không được mã hóa đi qua modem.

Nghiên cứu của Lyrebirds cho thấy, khai thác lỗ hổng Cable Haunt có thể hoạt động trên khoảng 200 triệu modem chỉ riêng ở châu Âu. Tấn công có thể hoạt động trên một số lượng lớn hơn các modem trên toàn thế giới. Việc xác định xem một modem có nằm trong danh sách dễ bị tấn công hay không khá phức tạp với người dùng thông thường vì yêu cầu thực thi mã PoC trên thiết bị. Việc phát hiện các modem bị tấn công cũng khó khăn vì có nhiều cách để che giấu tấn công một khi tin tặc có quyền root trên thiết bị.

Cable Haunt là một lỗ hổng nghiêm trọng cần khẩn trương được vá. Trước khi có phản hồi chính thức từ nhà sản xuất thiết bị, người dùng cần chủ động kiểm tra với nhà sản xuất thiết bị hoặc ISP đã phát hành nó để vá lỗ hổng, phòng tránh khả năng bị tấn công.

Nguyễn Anh Tuấn

Theo Ars Technica

‹ › ×

Tin liên quan

Phát hiện lỗ hổng nghiêm trọng trong plugin WordPress của 400.000 website

22:00 | 26/01/2020

Mới đây, các lỗ hổng nghiêm trọng trong 3 plugin WordPress đã được các chuyên gia phát hiện. Các plugin này bao gồm InfiniteWP, WP Time Capsule và WP Database Reset đã được cài đặt trên tổng cộng 400.000 website.

Thiết lập bảo mật mức cao khiến làm việc từ xa trở thành bất khả thi

09:00 | 25/03/2020

Một trong những quy tắc an toàn hệ thống là nếu hệ thống càng nhạy cảm, thì càng hạn chế kết nối Internet. Nhưng khi Mỹ ngăn chặn sự lây lan của Covid-19, các biện pháp an ninh mạng đặt ra thách thức kỹ thuật đối với làm việc từ xa cho nhân viên tại các cơ sở hạ tầng quan trọng, các cơ quan tình báo và bất cứ nơi nào khác có mạng lưới bảo mật cao. Trong một số trường hợp, làm việc tại nhà trở nên bất khả thi.

Working from Home – những rủi ro an ninh mạng cần phòng tránh

11:00 | 16/04/2020

Làm việc tại nhà (Working from Home - WFH) là một cụm từ thường được nhắc đến trong bối cảnh dịch Covid-19 đang có dấu hiệu gia tăng nhanh. Nhiều công ty đã áp dụng việc hạn chế tiếp xúc bằng cách cho phép nhân viên làm việc từ xa. Trên thực tế, không chỉ khi có dịch Covid-19 thì mới phát sinh nhu cầu làm việc từ xa, mà nó bắt nguồn từ các nhu cầu thực tế như: các nhân viên kinh doanh không ở văn phòng hay lãnh đạo các công ty thường xuyên đi công tác...

Sử dụng giải pháp kiểm soát truy cập điện tử

13:00 | 17/02/2021

Trong bối cảnh công nghệ luôn thay đổi, việc nắm bắt các giải pháp và khả năng bảo mật hiện đại là một thách thức lớn đối với người dùng. Ngày nay, những người có quyền ra quyết định làm việc trong lĩnh vực bảo mật sẽ có nhiệm vụ phân loại thông qua hàng loạt các dịch vụ và giới thiệu công nghệ mới. Việc chuyển đổi sang các hệ thống hoặc giải pháp mới có thể sẽ gặp khó khăn khi nhiều chuyên gia vẫn yên tâm với các sản phẩm đã được thử nghiệm và được kiểm nghiệm thực tế, hoặc họ chưa biết được những lợi ích và sự dễ dàng khi áp dụng các giải pháp hiện đại. Chuyển đổi từ các giải pháp bảo mật cơ học sang kiểm soát truy cập điện tử (electronic access control - EAC) là giải pháp thích hợp.

Đảm bảo truy cập an toàn ứng dụng của doanh nghiệp

08:00 | 02/01/2020

Việc đảm bảo truy cập an toàn vào các ứng dụng có vai trò rất quan trọng đối với các tổ chức, doanh nghiệp (TC/DN) hiện nay. Tuy nhiên, để thực hiện được điều này các TC/DN phải đối mặt với rất nhiều khó khăn và thách thức.

Phân tích mã độc khai thác lỗ hổng Microsoft Office Equation Editor

10:00 | 21/01/2020

Mã độc khai thác lỗ hổng Microsoft Office Equation Editor từng được tin tặc sử dụng trong các cuộc tấn công nhằm phát tán backdoor, chiếm quyền điều khiển từ xa hệ thống. Mới đây, các chuyên gia của Công ty An ninh mạng Viettel đã tiến hành phân tích mẫu mã độc này.

Tin cùng chuyên mục

Lỗ hổng nghiêm trọng trong Apache Ignite cho phép thực thi mã từ xa

14:00 | 04/03/2025

Mới đây, một lỗ hổng có mã định danh CVE-2024-52577 có khả năng thực thi mã từ xa đã được phát hiện trong Apache Ignite, một cơ sở dữ liệu phân tán mã nguồn mở phổ biến dành cho điện toán hiệu năng cao.

Lỗ hổng nghiêm trọng ảnh hưởng tới người dùng Apache Fineract

09:00 | 24/02/2025

Mới đây, một lỗ hổng nghiêm trọng định danh CVE-2024-32838 có đểm CVSS 9,4 được phát hiện trong Apache Fineract, nền tảng mã nguồn mở phổ biến được sử dụng để xây dựng hệ thống ngân hàng lõi cho các dịch vụ tài chính số.

Lỗ hổng trong Redis ảnh hưởng tới hàng triệu người dùng

09:00 | 01/02/2025

Redis - Hệ thống lưu trữ dữ liệu NoSQL mã nguồn mở phổ biến vừa phát hiện tồn tại 2 lỗ hổng bảo mật đe dọa đến hàng triệu người dùng.

Starbucks bị tê liệt do tấn công ransomware

15:00 | 27/11/2024

Starbucks đang phải đối mặt với hậu quả của một cuộc tấn công sử dụng ransomware nhắm vào nhà cung cấp phần mềm cho thương hiệu này, khiến việc chấm công tại các cửa hàng phải chuyển qua phương pháp thủ công.