ISS’ler Tarafından Verilen ADSL Modemler Hack’lenebilir

Araştırmacılar, birçok Internet Servis Sağlayıcısının müşterilerine sağlanan ADSL Modem ve diğer ağ geçidi aygıtlarını yönetmek için kullandığı  sunuculara İnternetten erişilebileceğini ve saldırganların kolayca Hackleyebileceğini söylüyor.

Check Point Software Technologies’ten bir güvenlik araştırmacısı olan Shahar Tal, bu tür sunuculara erişim sağlayarak, bilgisayar korsanları veya istihbarat ajansları milyonlarca ADSL Modem ve dolaylı olarak hizmet verdikleri ev ağlarını tehlikeye atabilir “dedi. Tal, Cumartesi günü Las Vegas’taki DefCon güvenlik konferansında bir sunum yaptı.

Sorunun özünde, TR-069 veya CWMP (müşteri-tesis ekipmanları geniş alan ağ yönetimi protokolü) olarak bilinen ve birçok Operatör tarafından (Turkcell,Vodafone,Turk Telekom vs) tarafından müşterilere verilen ADSL Modemler konfigürasyon sorunlarını uzaktan gidermek üzere kullanılan protokoller giderek artmaktadır.

Tal, 2011 yılı istatistiklerine göre çevrimiçi olarak 147 milyon TR-069 özellikli cihaz bulunduğunu ve bunların yaklaşık yüzde 70’inin konut ağ geçidi olduğunu söyledi. İnternet Protokolü sürüm 4 adres alanının taramalarına dayanarak, TR-069 ile ilişkilendirilen 7547 portu, 80 numaralı bağlantı noktasından (HTTP) sonra en sık görülen ikinci servis portalıdır.

TR-069 cihazları, İSS’ler tarafından işletilen Otomatik Yapılandırma Sunucularına (ACS) bağlanacak şekilde ayarlanmıştır. Bu sunucular, müşteri cihazlarını yeniden yapılandırmak, hataları ve kötü niyetli etkinlikleri izlemek, teşhis uygulamak ve hatta ürün yazılımlarını sessizce yükseltmek için kullanılabilen üçüncü parti şirketler tarafından geliştirilmiş özel ACS yazılımını çalıştırmaktadır.

Tal, birçok müşterinin büyük olasılıkla ISS’lerin yönlendiricilerinin üzerinde bu düzeyde bir denetime sahip olduğunu bilmiyorlar, özellikle de yönlendirmedeki özel yazılımlar genellikle yönlendirici yönetim arayüzündeki TR-069 ayarlarını gizliyor diye belirtti. Yetkili, bu uzaktan yönetim servisini bilse bile çoğu zaman devre dışı bırakma seçeneğinin bulunmadığını belirtti.

Bir saldırgan ACS’yi tehlikeye atarsa, kablosuz ağ adları, donanım MAC adresleri, IP üzerinden ses kimlik bilgileri, yönetim kullanıcı adları ve parolalar gibi yönetilen yönlendiricilerden bilgi alabilir. Yönlendiriciyi sahte bir DNS sunucusu kullanacak şekilde yapılandırabilir, tüm trafik İnternetini haydut bir tünelden geçirir, gizli bir kablosuz ağ kurabilir veya mevcut ağdan güvenlik şifresini kaldırabilir. Daha da kötüsü, kötü amaçlı yazılım veya arka kapı içeren kötü niyetli bir sürümle cihazlardaki bellenimi yükseltebilir.

TR-069 belirtimi, yönetilen aygıtlar ve ACS arasındaki bağlantılar için HTTPS (SSL şifrelemeli HTTP) kullanımını önermekle birlikte Tal ve arkadaşları tarafından gerçekleştirilen testlerde, gerçek dünya dağıtımlarının yaklaşık yüzde 80’inin şifreli bağlantılar kullanmadığı ortaya çıktı. HTTPS kullanıldığında bile, bazı durumlarda, müşteri ekipmanı bir ACS tarafından sunulan kendinden imzalı sertifikaları kabul eden sertifika doğrulama sorunlarına sahiptir. Bu, bir orta-adam saldırganın ACS sunucusunu taklit etmesine izin verir.

Protokol aynı zamanda cihazdan ACS’ye kimlik doğrulama gerektirir, ancak kullanıcı adı ve şifre genellikle cihazlar arasında paylaşılır ve ele geçirilen bir cihazdan kolayca çıkarılabilir; Talya, TR-069 istemci ayarlarındaki ACS’nin URL’sini saldırganın kontrol ettiği birine değiştirerek, Tal’in söylediğini belirtti.

Araştırmacı ve meslektaşları, ISS’ler tarafından kullanılan birkaç ACS yazılım uygulamasını test etti ve saldırganların Internet üzerinden erişilebilen yönetim sunucularını devralmalarına izin verecek önemli uzaktan kod çalıştırma açıklarını buldu.

GenieACS olarak adlandırılan bir ACS yazılım paketinde iki uzaktan kod çalıştırma güvenlik açıkları vardı. Araştırmacılar, birkaç bin cihazı yönetmek için yazılımı kullanan bir Ortadoğu ülkesinde bir İSS buldular.

Dünyanın dört bir yanındaki büyük ISS’ler tarafından kullanıldığı için isminin açıklanmadığı bir diğer ACS yazılım paketi, saldırganların bu sunucuları çalıştırmasına izin verebilecek birden çok güvenlik açığına sahipti. Tal, şirketin izniyle bu ACS yazılımının bir İSS’ye yerleştirilmesini test etti ve 500.000’den fazla cihazı devralabileceklerini söyledi.

Talih, ne yazık ki, çoğu durumda, TR-069’u kendi cihazlarında başka bir yolla erişmeksizin devre dışı bırakamayacakları için, son kullanıcılar için kolay bir düzeltme mevcut değil, dedi Tal. Müşteriler, ISS tarafından sağlananın arkasında ikinci bir yönlendirici kurabilirler, ancak bu, tüm riskleri hafifletmez.

Talya, TR-069 geniş alan ağı bağlantısı üzerinden çalışacak şekilde tasarlandı, ancak ISS’ler, otomatik yapılandırma sunucularına erişimi ayrı, kısıtlı ağ bölümlerinde çalıştırarak veya diğer yollarla kısıtlamalı, dedi. Ayrıca, ACS yazılım sağlayıcıları güvenli kodlama uygulamalarını benimsemeli ve ürünlerini güvenlik açığı değerlendirmelerine tabi tutmalıydı.

Şu an için Tal ve Check Point’teki meslektaşları sunucu tarafındaki zayıf noktaları araştırdı, ancak aygıtlardaki TR-069 istemci uygulamalarına karşı olası saldırı vektörlerini araştırmayı planlıyorlar.

ADSL Modemler’e karşı geniş çaplı saldırılar son on iki ayda, saldırganların bu tür cihazlara erişimi farklı şekillerde kullandıkları, çevrimiçi bankacılık trafiğini engellemesinden kriptokrasi madenciliği kötü amaçlı yazılım yüklemesine ve tıklama dolandırıcılığına yönelik DNS ayarlarını kaçırmamakla birlikte önemli ölçüde arttı.

Kaynak: PCWorld