Исследование СайберОК содержит в себе интересные ответы на то, что находится на интересном порту 7547/TCP, о котором многие могут услышать впервые. Пробежимся по тому, какую опасность в себе хранит этот порт и какие интересные физические устройства обитают на нём. Построим поверхность атаки, вспомним, как беспощадно наводили шуму эти маленькие коробочки – разложим это всё тщательно на атомы – на TP-Link-и, Keenetic-и, Mikrotik-и, а также проанализируем насколько это всё уязвимо. Лээтс го!
Введение
В эру развития такого направления как External Attack Surface Management мы тоже решили стать модными и разработать свою отечественную православную балалайку СКИПА, которая сумеет обезопасить славный Рунет. Эта балалайка перевернула айсберг вверх ногами и показала интересные и необычные результаты…
Кстати, СКИПА и сервисы непрерывного контроля поверхности атак и пентеста доступны для пилотов для корпоративных заказчиков. Безвозмездно. То есть даром. Писать info@cyberok.ru!
Результаты показали, что, оказывается, самый распространенный порт не 80 и не 443 – те самые Web-порты, а что-то более загадочное – 7547/TCP! И таких устройств с портом около 2 млн!
![Рис. 1 Рис. 1](https://habrastorage.org/getpro/habr/upload_files/e1f/3a0/cc5/e1f3a0cc5084805ccc68720265ce4bd8.png)
Немного погуглили, поресерчели, поизучали, что же обитает на этом порту и оказалось, что на нём работает такой интересный протокол как TR-069 или иначе CWMP (CPE WAN Management). Этот протокол помогает провайдером удаленно управлять различными маленькими абонентскими устройствами – конфигурировать, диагностировать и даже обновлять CPE-устройства (маленькие домашние коробочки) при помощи ACS (конфигурационного сервера).
![Рис. 2 Рис. 2](https://habrastorage.org/getpro/habr/upload_files/195/75a/620/19575a62076d312a4475387ba98e4b7f.png)
Почитали мы еще побольше про них новостей и заметили, что от этих домашних коробочек, которые лежат мирно у вас на полках, было немало проблем и вообще они периодически кибер-преступляют – бегают DDoS-ят, атакуют, поджигают Интернет.
Часто объединяются в большие банды – ботнеты, примеры тому крупные ботнеты Meris, Mirai. Последний, на минуточку, включал в себя более чем 3 миллиона устройств, многие из которых были проэксплуатированы через протокол TR-069!
![Рис. 3 Рис. 3](https://habrastorage.org/getpro/habr/upload_files/746/9da/937/7469da937caaa3b89bebca7b36915445.png)
Это заставило нас задуматься и построить поверхность атаки в Рунете. Запустив нашу СКИПА, способную определять расположенный на порту сервис или ПО, мы получили внушительную статистику распространенности устройств таких вендоров, как TP-Link, Mikrotik, Keenetic, Sercomm, Huawei, ZTE, и так далее. Ниже представлена наглядная диаграмма этой статистики.
![Рис. 4 Рис. 4](https://habrastorage.org/getpro/habr/upload_files/06a/94b/617/06a94b617c3e4589e690e75f219177d1.png)
Цифры огромные и правда, но так чем же подкрепляется опасность такого большого количества устройств в комбинации с TR-069? На самом деле аргументов несколько:
90% сервисов TR-069 работает по HTTP без SSL шифрования.
Basic/Digest аутентификация защищающая устройство (простой перебор паролей на таких объемах?).
Использование паролей вида: admin:admin, root:root, support:support, …
Устаревшее ПО 10+ летней давности.
Мы решили пойти дальше и стали изучать взаимодействие на примере ACS и CPE и заметили, что элементарно незрелое ИБ со стороны некоторых провайдеров подчеркивается размещением на ACS устаревшего релиза Nginx версии 1.6, релиз которой был более чем 10 лет назад!
![Рис. 5 Рис. 5](https://habrastorage.org/getpro/habr/upload_files/f6c/664/687/f6c6646874404094ec5fe90f0043ea82.png)
В некоторых случаях у некоторых провайдеров данные об устройстве вашей локальной сети уходят куда-то в Интернет. Так, на примере ниже, кому-то можно узнать о всяких штукенциях обитающих в моей сети. История умалчивает, где и как могут использоваться, храниться такие данные, но факт есть факт.
![Рис. 6 Рис. 6](https://habrastorage.org/getpro/habr/upload_files/e9f/f92/c65/e9ff92c6584de0ae8337816e9ba0cb84.png)
Мы решили исследовать глубже и пошли в лес за прошивками. Найти прошивку под домашний роутер оказалось проще простого, да и вообще можно найти версии на любой вкус – оригинальное, кастомные, всех видов и провайдеров.
![Рис. 7 Рис. 7](https://habrastorage.org/getpro/habr/upload_files/ad0/531/f8e/ad0531f8e4d688d650e14ae56f97b58c.png)
Порыскав немного в прошивках, можно найти различных зашитых пользователей, в том числе и операторских, найти URL-адреса куда ходят за обновлениями или ещё чем-либо, а также узнать о встроенном супер-админе, к которому на самом деле уже давно имеются пароли в чистом виде, что в свою очередь помогает подключиться к своей коробочке и познакомиться с ней еще ближе.
![Рис. 8 Рис. 8](https://habrastorage.org/getpro/habr/upload_files/761/1b3/c5f/7611b3c5f21588f032169b027bd63ad2.png)
Нас подбодрили найденные пароли, но мы решили пойти еще проще и посмотреть в сторону простых комбинаций. Оказывается, все сделано за нас и мы можем только подтвердить, что с 2017 года ситуация не изменилась. И на каждом 10-м устройстве можно пройти аутентификацию с помощью ТОП-10 паролей.
![Рис. 9 Рис. 9](https://habrastorage.org/getpro/habr/upload_files/df0/609/fe3/df0609fe33b769a2ebc69818724e8e84.png)
Определение программного обеспечения на порту 7547/TCP показало, что львиную долю занимает gSOAP, в особенности большая часть из них – это версии 2.7. Это ПО релиза 2006 года. Получается, что скоро всех ждёт на своем 20-летии.
![Рис. 10 Рис. 10](https://habrastorage.org/getpro/habr/upload_files/267/cae/785/267cae78540cd923aa9a7f768fc798f6.png)
На него имеются и уязвимости, однако громких инцидентов с ними не возникало. Это подчеркивает одну положительную сторону, что если уязвимо – то не всегда взламываемо!
![Рис. 11 Рис. 11](https://habrastorage.org/getpro/habr/upload_files/910/183/03f/91018303f1478080bfa8c636240a3c79.png)
Еще большую часть порта 7547 занимает ПО EasyCWMP – это опен-сорсная реализация протокола CWMP. Наша СКИПА сумела определить 76 тысяч устройств в РФ, а Shodan в свою очередь нашел 600 тысяч в мире. Мы стали искать известные уязвимости, однако результат был нулевым, что очень странно, ведь ПО уже более 5 лет не обновлялось, да и написано на C – языке, на котором не все умеют разрабатывать безопасно. Кстати, Mirai Botnet построен был на уязвимости в RomPager, которая стрельнула неожиданно и массово, разрушая интернет, так что стоит быть начеку!
![Рис. 12 Рис. 12](https://habrastorage.org/getpro/habr/upload_files/10f/90c/c71/10f90cc71786b11e5b66fa2ba820f96e.png)
Повышая «градус» коробочек, рассмотрим такую большую маленькую коробочку, уже не совсем домашнюю – Mikrotik!
![Рис. 13 Рис. 13](https://habrastorage.org/getpro/habr/upload_files/26c/0f9/d91/26c0f9d918e1ccddd6b326c2d6bbc034.png)
Это устройство относительно бюджетное и его любят ставить небольшие организации, но и часто его не совсем корректно настраивают.
В Рунете таких коробочек расположилось более чем 200 тысяч[SG1] [SV2] . Любой сетевой безопасник советует не выставлять неиспользуемые сервисы в Интернет и ставить сервисы на нестандартные порты, однако, согласно табличке ниже, не все администраторы применяют такую практику.
![](https://habrastorage.org/getpro/habr/upload_files/e75/b00/735/e75b00735e65f5a54452248c19809ed4.png)
![Рис. 14. В таблице указаны открытые и торчащие порты Рис. 14. В таблице указаны открытые и торчащие порты](https://habrastorage.org/getpro/habr/upload_files/95b/48f/816/95b48f81663625f5097e4db596a39d19.png)
Злоумышленников всегда при массовом взломе устройств интересует определение версии ПО. Mikrotik более чем на 120 тысячах устройств легко позволяет определить версию RouterOS при отправке специфичного запроса на сервис Winbox (8291/TCP).
![Рис. 15 Рис. 15](https://habrastorage.org/getpro/habr/upload_files/53c/076/2dd/53c0762ddd1e739b2db96685cc5ea2d3.png)
Определив версии RouterOS на Mikrotik, мы построили диаграмму устаревших, уязвимых устройств. В расчёт брались версии ранее 2022 года включительно. По этой диаграмме можно сделать выводы, что существует достаточно много устаревших устройств и администраторы не совсем любят обновляться, а более чем 12 тысяч устройств функционируют на версии ПО старее 2018 года.
![Рис. 16 Рис. 16](https://habrastorage.org/getpro/habr/upload_files/799/02e/1c2/79902e1c2a4887812385157131673bd9.png)
Дополнительно мы провели safe-check проверку на некоторые «хайповые» уязвимости.
Оказалось, что в Рунете можно встретить более чем 30 тысяч роутеров, подверженных CVE-2023-30799 (CVSS: 7.1), которая позволяет повыситься аутентифицированному пользователю от админа – к супер-админу. Более чем 1400 устройств имеют уязвимый SNMP сервис, позволяющий выполнить удаленный код (CVE-2022-45315 (CVSS: 9.8)). Ну и замыкает тройку самая известная критическая уязвимость CVE-2018-14847 в службе Winbox, позволяющая выполнить код на роутере.
Заключение
А на этом мы заканчиваем это увлекательное изучение маленьких коробочек, обитаемых в ваших и наших Интернетах. И хочется сделать следующие выводы:
не забывать обновляться, хотя бы при критических уязвимостях;
внедрять строгую парольную политику, чтобы принудительно пользователи не могли устанавливать слабые пароли;
не выставлять в интернет лишние сервисы – фильтровать порты от злоумышленников.
А еще забегайте к нам в Телеграм на огонек – там еще много всего интересного!
![](https://habrastorage.org/getpro/habr/upload_files/8a1/b0e/6b3/8a1b0e6b31f110057d77cd69f6238ec2.jpg)
Артемий Цецерский
Cпециалист по тестированию на проникновение, CyberOK