Luka, przez którą włamują się do twojego routera, została załatana w 2021 roku

CVE-2021-35394 ma pięć lat. Siedzi w Realtek Jungle SDK, kawałku oprogramowania, który dziesiątki producentów wbudowały w routery, punkty dostępowe i rejestratory, nigdy go samodzielnie nie pisząc. Załatano go w 2021 roku. Spora część sprzętu w domach nigdy tej poprawki nie dostała, a napastnicy o tym wiedzą.

Nozomi Networks Labs przyjrzało się wzrostowi prób wykorzystania tej luki i znalazło botnet, którego nikt wcześniej nie nazwał. Nazywają go Cling. Przeanalizowana próbka niesie exploity na osiem różnych podatności i wykracza daleko poza sprzęt Realteka: routery LB-LINK i Linksys, urządzenia Eir i FiberHome, rejestratory monitoringu TBK i MVPower. Po wejściu kopiuje się w dwa ukryte miejsca, zaczepia się o pliki startowe urządzenia, żeby restart go nie usunął, a nawet podmienia polecenie wget, by urządzenie pobierało to, czego chce operator.

Najsprytniejszy jest sposób odbierania poleceń. Mniej więcej co pięć sekund odpytuje 13 publicznych serwerów STUN, czyli te zwyczajne maszyny, dzięki którym połączenia wideo ustalają, jak się wzajemnie znaleźć przez domowe łącze. Odpowiedzi wyglądają, jakby przychodziły od Google. Nie przychodzą: adres jest podrobiony, a polecenie wciśnięte w pole, które powinno zawierać losowy identyfikator. Dla sieci wygląda to jak ktoś na rozmowie wideo. W rzeczywistości potrafi skanować, budować tunele, przekazywać ruch i brać udział w atakach odmowy usługi.

Nic na twoim komputerze tego nie pokaże. Ofiarą jest urządzenie, a ono nie ma ekranu. Poszukaj na stronie producenta oprogramowania układowego dokładnie do swojego modelu, wyłącz zarządzanie zdalne z internetu, jeśli jest włączone, a router, który od lat nie dostaje aktualizacji, potraktuj jako sprzęt do wymiany, a nie do trzymania. Skanowanie sieci w Tendvane wypisuje, co naprawdę jest podłączone do domowej sieci, i zwykle właśnie wtedy ludzie przypominają sobie o kamerze na korytarzu.