La falla da cui stanno entrando nel vostro router è stata corretta nel 2021
CVE-2021-35394 ha cinque anni. Si trova nel Realtek Jungle SDK, un blocco di software che decine di produttori hanno inserito in router, access point e registratori video senza averlo mai scritto. È stato corretto nel 2021. Buona parte dell'hardware nelle case non ha mai ricevuto quella correzione, e gli aggressori lo sanno.
Nozomi Networks Labs è andata a guardare un'impennata di tentativi contro quella falla e ha trovato una botnet che nessuno aveva ancora battezzato. La chiamano Cling. Il campione analizzato porta con sé exploit per otto vulnerabilità distinte e arriva ben oltre l'hardware Realtek: router LB-LINK e Linksys, apparati Eir e FiberHome, videoregistratori di sorveglianza TBK e MVPower. Una volta dentro, si copia in un paio di posizioni nascoste, si aggancia ai file di avvio del dispositivo perché un riavvio non lo sposti, e sostituisce persino il comando wget così che l'apparecchio scarichi quello che vuole l'operatore.
La parte ingegnosa è il modo in cui riceve gli ordini. Ogni cinque secondi circa interroga 13 server STUN pubblici, quelle macchine ordinarie che le videochiamate usano per capire come raggiungersi attraverso una connessione domestica. Le risposte sembrano arrivare da Google. Non è così: l'indirizzo è falsificato e il comando è infilato in un campo che dovrebbe contenere un identificativo casuale. Per la rete sembra qualcuno impegnato in una videochiamata. Quello che in realtà può fare è scansionare, aprire tunnel, far rimbalzare traffico e partecipare ad attacchi di negazione del servizio.
Sul PC non si vedrà nulla di tutto questo. La vittima è l'apparecchio, e non ha uno schermo. Cercate sul sito del produttore il firmware per il vostro modello esatto, disattivate la gestione remota da internet se è attiva, e considerate un router che non riceve aggiornamenti da anni come qualcosa da sostituire anziché da tenere. La scansione di rete di Tendvane elenca quello che è davvero collegato alla rete di casa, e di solito è il momento in cui ci si ricorda della telecamera in corridoio.