Hầu hết các router đều có một thư mục cấu tạo một lổ hổng bảo mật được gọi là firmware webproc.cgi cho phép tin tặc dùng để trích xuất cấu hình cơ sở dữ liệu nhạy cảm, bao gồm cả thông tin quản trị. Lổ hỏng này không phải là mới và đã được các nhà nghiên cứu thông báo từ năm 2011, nó xuất hiện khá nhiều trong các router khác nhau.
Nhà nghiên cứu bảo mật Kyle Lovett đã xem qua các lổ hổng bảo mật một vài tháng trước trên một số các router ADSL mà ông đã phân tích trong thời gian rảnh rỗi của mình. Ông tiếp tục điều tra và tìm ra hàng trăm hàng ngàn các thiết bị dễ bị ảnh hưởng từ các nhà sản xuất khác nhau đã được các nhà mạng cung cấp cho các thuê bao internet ở hàng chục quốc gia.
Các lổ hổng trong thư mục có thể bị những kẻ tấn công dùng để trích xuất một tập tin nhạy cảm không được xác thực có tên là config.xml, nó nằm trong hầu hết các router và có các thiết lập cấu hình của họ.
D-Link DSL-2750E modem ADSL là một trong những thiết bị được cho là dễ mắc phải lỗ hổng bảo mật nhất.
Các tập tin cũng chứa các mật khẩu bằng mã hash cho các quản trị viên và các tài khoản khác trên thiết bị; tên người dùng và mật khẩu cho kết nối nhà cung cấp mạng của người dùng (PPPoE), khách hàng và máy chủ thông tin cho các giao thức quản lý từ xa với TR-069 được sử dụng bởi một số nhà cung caaso mạng và mật khẩu cho cấu hình mạng không dây nếu thiết bị có khả năng phát Wi-Fi.
Theo Lovett, thuật toán Hashing được sử dụng trong các router rất yếu nên các hash mật khẩu dễ dàng bị bẻ khóa. Những kẻ tấn công sau đó có thể đăng nhập như là một quản trị và thay đổi thiết lập DNS của router.
Bằng cách kiểm soát các máy chủ DNS của router được sử dụng, những kẻ tấn công có thể hướng người dùng đến một máy chủ giả mạo khi họ cố gắn truy cập vào các trang wed hợp pháp. Các cuộc tấn công hack DNS quy mô lớn gây hại cho các router, được gọi là router pharming, đã trở nên phổ biến trong hai năm qua.
Trên một số thiết bị, tải file config.xml thậm chí không cần một lổ hổng bảo mật trong thư mục, chỉ cần biết đúng vị trí của các URL của nó là đủ, Lovett cho biết.
DNS dễ bị tấn công không phải là vấn đề duy nhất
Rất nhiều trong số các router đều có thêm các sai sót khác. Ví dụ, khoản 60% có tài khoản hỗ trợ ẩn với một mật khẩu hard-coded mà bạn đã chia sẽ cho chúng tất cả. Một số thiết bị không có thư mục lổ hổng traversal nhưng có tài khoản tài backdoor này, Lovett cho biết.
Trong khoảng một phần tư các router, nó cũng có thể tạo nên một ảnh chụp từ xa của bộ nhớ hoạt động của nó, nó được biết đến như một bãi chứa của bộ nhớ. Điều này thật sự không tốt bởi vì bộ nhớ của thiết bị như vậy có thể chứa các thông tin nhạy cảm về lưu lượng truy cập internet mà dữ liệu đi qua, bao gồm cả thông tin quan trọng cho các trang wed khác nhau trong văn bản đơn giản.
Bằng cách phân tích một số bãi chứa của bộ nhớ, Lovett tìm thấy dấu hiệu rằng, các router đều đã được thăm dò bởi những kẻ tấn công, chủ yếu là từ các địa chỉ IP ở Trung Quốc.
Hầu hết các thiết bị dễ bị tấn công, ông xác định là các modem ADSL với chức năng định tuyến được cung cấp bởi các nhà cung cấp internet cho khách hàng ở Colombia, Ấn Độ, Argentina, Thái Lan, Moldova, Iran, Peru, Chile, Ai Cập, Trung Quốc và Ý. Một số khác cũng được tìm thấy ở Mỹ và các nước khác, nhưng dường như là các thiết bị không được phân phối bởi các nhà cung cấp internet.
Các thiết bị ZTE-H108N là một modem ADSL bị lỗ hổng bảo mật tương tự.
Lovett tìm thấy các router dễ bị tấn công thông qua internet và quét bằng cách sử dụng SHODAN, công cụ tìm kiếm chuyên biệt cho các thiết bị có kết nối internet. Theo ông, 700.000 là một con số tối thiểu, nó chỉ bao gồm các thiết là mục tiêu tấn công từ xa, vì họ có giao diện quản lý Web-based của họ tiếp xúc với Internet.
Có thể có nhiều hơn những thiết bị mắc phải các lổ hổng tương tự nhueng không được cấu hình để quản lý từ xa. Những thiết bị có thể bị tấn công từ bên trong các mạng nội bộ, ví dụ từ các phần mềm độc hại hoặc thông qua các wed giả mạo, một kỹ thuật để chiếm lấy trình duyệt của người dùng để thực hiện các hành động trái phép.
Các mô hình thiết bị bị ảnh hưởng bao gồm ZTE H108N và H108NV2.1; D-Link 2750E, 2730U và 2730E; Sitecom WLM-3600, WLR-6100 và WLR-4100; FiberHome HG110; Planet ADN-4101; Digisol DG-BG4011N; và Observa Telecom BHS_RTA_R1A. Các thiết bị dễ bị tấn công khác mang thương hiệu của các nhà cung cấp internet hoặc số mô hình không thể xác định được.
Tuy nhiên, Lovett tìm thấy một điểm chung: phần lớn các tuyến bị ảnh hưởng đang chạy firmware được phát triển bởi một công ty Trung Quốc gọi là Shenzhen Gongjin Electronics, không kinh doanh dưới thương hiệu T & W.
Shenzhen Gongjin Electronics là một OEM (nhà sản xuất thiết bị gốc) và ODM (nhà sản xuất thiết kế gốc) cho mạng viễn thông và các sản phẩm. Họ đã sản xuất các thiết bị dựa trên thông số kỹ thuật riêng của mình, cũng như trên các thông số kỹ thuật của các công ty khác.
Theo một tìm kiếm trên WikiDevi, một cơ sở dữ liệu trực tuyến của phần cứng máy tính, Shenzhen Gongjin Electronics được liệt kê như là nhà sản xuất cho thiết bị mạng từ một lượng lớn các nhà cung cấp, bao gồm D-Link, Asus, Alcatel-Lucent, Belkin, ZyXEL và Netgear. Không rõ có bao nhiêu trong những thiết bị được liệt kê cũng chạy firmware được phát triển bởi các công ty mà có thể chứa các lỗ hổng bảo mật được xác định bởi Lovett.
Cũng có thể Shenzhen Gongjin Electronics cũng không biết hết các sai sót hoặc nếu biết thì họ đã cung cấp các bản vá của firmware cho các đối tác của mình.
Công ty đã không trả lời cũng như bình luận nào và theo Lovett, nỗ lực của mình để thông báo cho các công ty chưa được phản hồi tích cực.
Nhà nghiên cứu này cũng thông báo cho các nhà cung cấp thiết bị bị ảnh hưởng mà ông quản lý để xác định, cũng như Đội ngũ available in Trường hợp Khẩn cấp of Máy vi tính Hoa Kỳ (United States Computer Emergency Readiness Team, US-CERT).
Ông đã công bố một số kết quả hôm thứ Tư tại một hội nghị an ninh ở Anh như là một phần của một bài thuyết trình lớn về SOHO, thiết bị định tuyến, các thiết bị lưu trữ theo mạng, camera IP…