Stracił 16 tysięcy, bo miał dziurawy ruter. 1,2 miliona Polaków może być podatnych na atak!

Zaledwie 2 tygodnie temu Niebezpiecznik ostrzegał czytelników przed poważną luką w wielu popularnych w Polsce modelach routerów Wi-Fi (m.in. w TP-Linkach, D-Linkach i Pentagramach). Wczoraj jeden z czytelników serwisu opisał jak z powodu powyższej dziury w routerze, z jego konta w mBanku zniknęło 16 tys. złotych. Opis samego ataku oraz tego jak sprawdzić, czy wasz router jest dziurawy znajdziecie w tym artykule.

List od czytelnika

Cytat:

---

15 stycznia z konta mi zniknęło blisko 16.000 zł. Przelew został wykonany na konto mbanku do realnej osoby (jak potwierdził [mi] bank), ale i jednoczesnie natychmiast został przelany na kolejne numery kont (osób, które jak się okazało, też były ofiarami).

Cala procedura polegała, co mogę stwierdzić już po fakcie, na zamianie DNS-ów w routerze (podatny na atak AirLive WT-2000ARM). Potwierdzilem to, kiedy drugi raz, 2 dni temu, znów coś niepokojącego pojawiło się na stronie mBanku. Nie mogłem uruchomić nowej wersji strony banku. Caly czas przekierowywało mnie na starą wersję, co wydało mi się dziwne, a dodatkowo nie było już certyfikatu, a adres banku wyglądał tak: ssl-.mBank ? konta, kredyty, lokaty, karty kredytowe, inwestycje

---

http://niebezpiecznik.pl/wp-content/...ank-fake-5.jpg
Wygląd podstawionej przez atakujących strony WWW mBanku

Tu warto wyjaśnić modus operandi atakujących. Pierwsze publikacje w sieci dotyczące możliwości przejęcia hasła administratora do wielu routerów pojawiają się 11 stycznia. Wiadomość o luce w routerach rozprzestrzenia się po internecie i zapewne niektórym do głowy przychodzi jak mogliby ją "zmonetyzować". Atak w skrócie polega na

wyszukaniu w internecie podatnych routerów (co można bardzo prosto zrobić przy pomocy odpowiedniego zapytania do Shodana).

odwołaniu się do pliku z backupem konfiguracji na routerze i zdekodowaniu go w celu uzyskania hasła.

zalogowaniu się na router "odzyskanym" hasłem i podmianie ustawień serwera DHCP na routerze tak, aby w polach "serwery DNS" zwracał nie dane dostawcy łącza internetowego, a fałszywy serwer DNS kontrolowany przez atakujących.

Od teraz wszystkie rozwiązania nazw domenowych przechodzą przez serwer DNS należący do atakujących, a ci mogą dla wybranych domen zwracać inny niż oficjalny adres IP (tzn. kierować ruch na kolejny swój serwer, pod którym kryje się wierna kopia oficjalnej strony, np. mBanku, z tym drobnym wyjątkiem, że brakuje certyfikatu SSL, a podane podczas logowania dane są przez atakujących zapisywane). Taki atak nazywamy pharmingiem.

Pamiętajcie, że problem dotyczy wszystkich banków i dowolnych innych stron, nie tylko mBanku!

Jak złodzieje zrobili przelew w mBanku bez kodu z SMS-a?

Bystry czytelnik mógł to już wywnioskować z zrzutu ekranu powyżej. W przypadku mBanku przestępcy nie mieli możliwości wykorzystania błędu logicznego, który pojawia się w niektórych bankach - musieli więc skorzystać z socjotechniki, aby przekonać ofiarę do samodzielnego zdefiniowania w ramach jej konta nowego "zaufanego odbiorcy przelewu". Odbiorca taki charakteryzuje się tym, że wysyłane na jego rachunek przelewy nie muszą być potwierdzane jednorazowym kodem z SMS-a.

Ofierze sprzedali historię, że procedura ta ma na celu dodanie nowego formatu numeru rachunku bankowego do jej konta, wymaganego ze względu na niedawne i głośne w mediach połączenie mBanku z Multibankiem (piękna zagrywka!) …i ofiara na to poszła. Krótko mówiąc: ofiara przepisała podstawiony przez atakujących numer konta, dostała SMS-a z kodem i wpisała go na fałszywej stronie mBanku (w tym czasie atakujący, którzy byli zalogowani na faktyczne konto ofiary, równolegle odtwarzali rzeczy wpisywane przez ofiarę informacje, łącznei z kodem z SMSa)

Choć nie mamy pewności, ponieważ czytelnik - co zrozumiałe - nie zbadał dokładnie "złośliwej" strony mBanku w trakcie ataku, to wszystko wskazuje na to, że atakujący wykonywali atak man in the middle - kiedy ofiara wpisywała login i hasło na podstawionej, kontrolowanej przez atakujących stronie, te same dane atakujący "odbijali" w tym samym czasie w stronę oficjalnej strony mBanku. Dzięki temu, zdefiniowanie "zaufanego odbiorcy", mimo iż przeprowadzone na podstawionej stronie, rzeczywiście miało miejsce na prawdziwym koncie klienta.

Wedle relacji naszego czytelnika, przestępcy potrzebowali kilku godzin, aby wytransferować środki z jego konta. mBank, po złożeniu reklamacji przez klienta odpisał, że ma, cytując czytelnika, "związane ręce dopoki policja i prokuratura nie przedstawi swego stanowiska, a to może trwać od 3 do 12 miesięcy. Reklamacja zostaje zawieszona do momentu decyzji prokuratury".

Jak mogę ochronić się przed tego typu atakiem?

Po pierwsze zweryfikuj, czy twój router posiada opisaną przez nas w tym artykule dziurę i w razie potrzeby zastosuj się do podanych tam wskazówek, które pozwolą go zabezpieczyć (podstawowa rada: ZABLOKUJ dostęp do panelu administracyjnego routera od strony "internetu").

Sprawę może ułatwić udostępnione przez Orange narzędzie - wystarczy kliknąć przycisk Skanuj:

aby zobaczyć, czy nasz router dostępny jest "z internetu", a jeśli jest - to czy jest podatny na dziurę, która umożliwiła opisywaną w tym artykule kradzież.

Po drugie, dla pewności możesz wpisać (na stałe) zaufane adresy serwerów DNS na swoim komputerze (np. skorzystać z prostych do zapamiętania adresów serwerów Google: 8.8.8.8 i 8.8.4.4 - o ile nie boisz się inwigilacji ze strony Google).

http://niebezpiecznik.pl/wp-content/...dows_dns-8.jpg
Zmiana ustawień DNS na Windows

Dzięki takiemu ustawieniu adresów DNS-ów na sztywno, twój komputer podczas podpinania do sieci nie pobierze ustawień DNS z routera (jakiekolwiek one by nie były). To uniemożliwi atak, jeśli ktoś kiedyś podmieni adresy DNS na routerze na złośliwe, albo kiedyś przez nieuwagę podepniesz się do złośliwej sieci Wi-Fi.

Warto jednak pamiętać, że powyższa metoda nie zabezpieczy cię w 100% przed innymi atakami modyfikacji ruchu na dziurawym routerze. Atakujący kontrolujący twój router może po prostu przechwycić wychodzące zapytanie DNS i podstawić pod nie swoją, fałszywą odpowiedź, nawet jeśli korzystasz z zaufanych serwerów DNS. Służy do tego m.in. pakiet DNSpoof, aczkolwiek jego użycie wymaga już od atakującego o wiele większego wysiłku i niekiedy znaczącej modyfikacji oprogramowania na routerze, co może nie być możliwe zdalnie.

Kto stoi za atakami?

Wszystko wskazuje na to, że Polacy. I że już wcześniej mieli przygotowane zaplecze, ale do tej pory korzystali z innego wektora ataku niż podatność w routerach Wi-Fi. Pracy wynikającej z nowego sposobu infekcji będą mieli sporo, ponieważ potencjalnie podatnych na atak routerów w Polsce jest aż ok. 1,2 milionów.

Przypadek naszego czytelnika nie jest odosobniony - problemy zauważył też jeden z użytkowników Wykopu, chociaż w jego sytuacji skórę uratowała mu przeglądarka Chrome i najwyraźniej brak zrozumienia nagłówka HSTS przez atakujących.

http://niebezpiecznik.pl/wp-content/...xo6IbBnwat.jpg
Błąd HSTS nie pozwolił Chrome załądować podstawionej przez atakujących strony mBanku

Dajcie więc znać swoim znajomym, by sprawdzili, czy ich routery są podatne na atak zdalnego pobrania konfiguracji, co - jak widać powyżej - może doprowadzić do zalogowania się przestępców na ich router i podmiany DNS-ów na fałszywe. Prześlijcie im link do tego tekstu, a w razie potrzebny pomóżcie przekonfigurować i zabezpieczyć ich router. I do cholery, uczulcie, żeby patrzyli czy jest "kłódeczka"!

Jeden z czytelników zasugerował stworzenie skryptu, który przeszedłby po wszystkich 1,2 milionach podatnych routerów, zweryfikowałby czy rzeczywiście dziura jest na nich dostępna, a następnie skorzystał z niej w dobrym celu - tj. zalogował się i tak zmienił konfigurację routera, aby nie był on widoczny z internetu. O ile pomysł jest ciekawy, to gdyby komuś z Was też przyszło to do głowy, to ostrzegamy - takie działanie jest niestety nielegalne. Nieautoryzowana zmiana konfiguracji czyjegoś urządzenia, nawet w dobrej wierze, jest penalizowana przez polski Kodeks Karny (m.in. Art. 267 i 268(a)).

Na zakończenie, warto zauważyć, że ten atak pięknie obrazuje, iż nawet dwuskładnikowe uwierzytelnienie można pokonać …socjotechniką.

Aktualizacja [3.02.2014, 7:49]

Kolejny z czytelników, po lekturze tego artykułu, zauważył fałszywe DNS-y w konfiguracji swojego routera: 5.45.75.36 i 5.45.75.11:

http://niebezpiecznik.pl/wp-content/...4/02/zrzut.jpg


Mamy też potwierdzony przypadek jeszcze jednej pary złośliwych DNS-ów: 95.211.241.94, 95.211.205.5

























Niebezpiecznik pl