Botnet o nazwie Doorway zostawił na widoku 41 GB własnych plików, a routery z domyślnymi hasłami to jego ulubione wejście

Infrastruktura przestępców zostaje otwarta częściej, niż mogłoby się wydawać, a kiedy tak się dzieje, papiery bywają bardzo wymowne. Badacze z CloudSEK znaleźli w październiku dwie odsłonięte przestrzenie robocze atakujących i wyciągnęli z nich około 41 GB danych operacyjnych botnetu, który nazwali Doorway. Ich raport opublikowany 28 października wygląda jak panel logistyczny firmy kurierskiej, tyle że paczkami są routery i kamery.

Główną drogą do środka jest MikroTik RouterOS, przez CVE-2023-30799, lukę załataną trzy lata temu, oraz przez najstarszą sztuczkę świata: domyślne dane logowania administratora, w tym puste hasło. Zapisy pokazują 7369 udanych logowań do MikroTika na 4923 urządzeniach. Własny rejestr operatorów chwali się 11 363 przyłączonymi urządzeniami i 58 920 pobraniami ładunku w ciągu jednej godziny, choć ta liczba nie została niezależnie zweryfikowana, a CloudSEK traktuje swoje dane jako wartości minimalne. Po wejściu Doorway konfiguruje serwery proxy SOCKS i po cichu zamienia czyjeś łącze internetowe w przekaźnik dla cudzego ruchu. U jednego tylko dostawcy w łupie znalazło się 1060 rekordów abonentów.

MikroTik to nie marka, którą rozpozna większość domowników, ale dostawcy internetu rozdają sporo tego sprzętu, a 59 modułów exploitów celuje też w kamery, terminale światłowodowe i inne urządzenia od operatorów. Obrona jest nudna i skuteczna. Zmień hasło administratora routera, jeśli wciąż jest domyślne albo, co gorsza, puste. Wyłącz zdalne zarządzanie z internetu, wyłącz Telnet i UPnP, jeśli ustawienia na to pozwalają, i instaluj aktualizacje firmware'u. Router pracujący jako proxy dla obcych rzadko zdradza się czymś więcej niż wolniejszym łączem, więc jeśli urządzenie dostałeś od dostawcy, zapytaj go, czy firmware jest aktualny.

Skanowanie sieci w Tendvane wyświetla każde urządzenie w twojej sieci domowej, co pozwala szybko wypatrzyć starą kamerę albo zapomniane pudełko, którego nikt nie aktualizował od dnia podłączenia.