TP-LINK ja adfoc.us

[salai]

Viikko sitten siskon koneeseen (W7) oli ruvennut aukeamaan linkkejä johonkin adfoc.us (ja adfly) -osoitteiseen.
Menin katsomaan tilannetta  ja löysin netistä yhden tuoreen viestiketjun aiheesta: Adfly/adfoc | AfterDawnin keskustelualueet.

Latasin sitten tavanomaiseen tapaan Malwarebytesin ja ajoin pikatestin, joka ei löytänyt mitään. Selaimissa ei näyttänyt olevan mitään asiaan liittyvää. Käynnistin sitten täyden testin vikasietotilassa ja ajattelin samalla lukea nettiuutisia älykännykällä (Sony Xperia Z2) wlanin kautta. Hupsista, Ampparit-appletista aukenikin adfoc.us linkkaamani sivun asemasta.

Eli modeemi TP-LINK TD-W8101G olikin kaapattu, tai ainakin DNS-palvelin vaihdettu. En päässyt modeemin hallintasivulle oletussanasanalla enkä muistiin kirjoittamallani. Resetoin modeemin ja hain siihen uudemman firmwaren (joka sekin 4 vuoden takaa). Vaihdoin kaikki löytämäni asetukset pois oletuksista. W7-kone ja älykännykkä toimivat taas normaalisti (kun olin poistanut väliaikaistiedostot).

Windowsissa oli ilmainen Avast-virustorjunta, jossa on uudehko osio: Tarkista kotiverkon uhkat. Se ilmeisesti hakee firmwaren perusteella tietoa jostain listasta. Tuloksena oli samanlainen viesti kuin tuolla: Avast blog » How to upgrade your router with the latest firmware or replace it completely. Millään neuvotuilla asetuksilla en saanut sitä hyväksymään modeemia turvalliseksi, joten ainoa keino oli vaihtaa modeemi toiseen (Saunalahden liittymän mukana tulleeseen), jolle Avast näytti vihreää valoa.

Sain jollain haulla melko tuoreen listan noista haavoittuvista laitteista (TP-LINK mukana), valitettavasti en ottanut osoitetta ylös.

[Tomin]

Tuollahan lähinnä neuvotaan ottamaan pois käytöstä tuo ulkoverkosta tapahtuva asetusten muuttaminen, jonka itse ainakin teen aina. Sen jälkeen se ei joko vastaa ollenkaan portissa 80 tai ohjaa sen jollekin tietokoneelle, jossa on www-palvelin, jota nyt sitten käytetään johonkin. Tosiaankaan en tarkoita että ihan huvikseen noita palvelimia pystyttelisin vaan sitä, että jos sellaiselle on käyttöä niin että pitää päästä ulkoverkosta, silloin ohjataan sinne. Kokeilit varmaan tuota sille TeleWellille? Toki kyse voi olla jostain erityisemmästäkin tapauksesta tuolla laitteella, mutta tämä näin yleisesti.

[salai]

Tuollahan lähinnä neuvotaan ottamaan pois käytöstä tuo ulkoverkosta tapahtuva asetusten muuttaminen, jonka itse ainakin teen aina. Sen jälkeen se ei joko vastaa ollenkaan portissa 80 tai ohjaa sen jollekin tietokoneelle, jossa on www-palvelin, jota nyt sitten käytetään johonkin. Tosiaankaan en tarkoita että ihan huvikseen noita palvelimia pystyttelisin vaan sitä, että jos sellaiselle on käyttöä niin että pitää päästä ulkoverkosta, silloin ohjataan sinne. Kokeilit varmaan tuota sille TeleWellille? Toki kyse voi olla jostain erityisemmästäkin tapauksesta tuolla laitteella, mutta tämä näin yleisesti.

Missä minä puhuin TeleWellistä? Minä kyllä osaan yleensä lukea niitä ohjeita, mutta mistään en löytänyt tuosta TP-LINK TD-W8101G:stä paikkaa muuttaa asetuksia niiden mukaiseksi. Kotona ei ole ADSL:ää fyysisessä hallinnassa (puhelinliittymä + modeemi naapurin firmassa), joten en voi testata sitä ajan kanssa.

Toki kyse voi olla jostain erityisemmästäkin tapauksesta tuolla laitteella, mutta tämä näin yleisesti.

Oisko noissa laitteissa nyt kuitenkin yleisemminkin paikkaamattomia firmwareja (Avast blog »).

Last February, Craig Young, a researcher at security firm Tripwire, published research showing that 80% of the 25 best-selling small office/home office (SOHO) wireless router models on Amazon had vulnerabilities. Because some routers, in fact, a lot of them, have so many non-patched vulnerabilities, the easiest way to secure your home network is to replace the router completely with a secure model.

Taitaa suuri osa noista halvoista modeemeista jäädä lopullisesti paikkaamatta. Tuollekin oli viimeisin firmware julkaistu 1.11.2010: TD-W8101G - Welcome to TP-LINK.

PS. Telewellistä tulikin mieleen: Pari vuotta sitten Sonera toimitti eräälle eläkeläiselle taloyhtiön ilmaisen ADSL:n kylkiäisenä Telewellin modeemin, jossa oli oletuksena wlan päällä salaamattomana. Siellä näkyi olevan 5 eri laitetta yhdistettynä hänen liittymänsä kautta nettiin. Eräs toinen pariskunta oli puolestaan maksanut kaapelimodeemista 1½ vuotta. Ongelmia tuli kun naapuri ilmeisesti muutti pois, eikä hänen avoin verkkonsa ollut enää automaattisesti käytössä. Siitä maksetusta kaapelimodeemista ei oltu ikinä laitettu wlania päälle.

EDIT: korjattu reitittimen tyyppi B-->8

[nm]

Taitaa suuri osa noista halvoista modeemeista jäädä lopullisesti paikkaamatta.

Käytännössä kaikki kaupalliset kotikäyttöön suunnatut NAT-boksit/reitittimet jäävät muutaman vuoden ikäisinä vaille tietoturvapäivityksiä. Lisäksi joissain laitteissa on takaovia, jotka mahdollistavat vapaan pääsyn asetuksiin tai sisäverkkoon, vaikka laitteen asetuksista olisi suljettu kaikki portit.

Vaihtoehtona uuden laitteen hankinnalle on vaihtaa firmwareksi jokin avoin toteutus, kuten OpenWRT. Se ei toki toimi kaikissa malleissa, mutta asia kannattaa huomioida seuraavalla kerralla reititinostoksia suunnitellessa.

[Tomin]

Tuollahan lähinnä neuvotaan ottamaan pois käytöstä tuo ulkoverkosta tapahtuva asetusten muuttaminen, jonka itse ainakin teen aina. Sen jälkeen se ei joko vastaa ollenkaan portissa 80 tai ohjaa sen jollekin tietokoneelle, jossa on www-palvelin, jota nyt sitten käytetään johonkin. Tosiaankaan en tarkoita että ihan huvikseen noita palvelimia pystyttelisin vaan sitä, että jos sellaiselle on käyttöä niin että pitää päästä ulkoverkosta, silloin ohjataan sinne. Kokeilit varmaan tuota sille TeleWellille? Toki kyse voi olla jostain erityisemmästäkin tapauksesta tuolla laitteella, mutta tämä näin yleisesti.

Missä minä puhuin TeleWellistä? Minä kyllä osaan yleensä lukea niitä ohjeita, mutta mistään en löytänyt tuosta TP-LINK TD-WB101G:stä paikkaa muuttaa asetuksia niiden mukaiseksi. Kotona ei ole ADSL:ää fyysisessä hallinnassa (puhelinliittymä + modeemi naapurin firmassa), joten en voi testata sitä ajan kanssa.

Aivan, anteeksi. Etpä missään, jotenkin tuo TP vääntyi päässäni TW:ksi ja TeleWelliksi. Täällä on ollut molempien valmistajien (TeleWell ja TP-LINK) laitteita ja pitäisihän minun tuo muistaa.

Tulipa mieleeni, että tänä syksynä sain Elisalta viestiä että meidän liittymäämme oli käytetty palvelunestohyökkäykseen ja kyseessä oli jokin UPnP:tä käyttävä systeemi. Otin pois UPnP:n reitittimestä (D-Link) ja se oli sillä hyvä. Eli kyllähän noita löytyy monestakin vehkeestä.

[salai]

Tuo kyllä näyttää todella pahalta ja koskee monia ZynOS-käyttöjärjestelmällä varustettuja modeemeita.

Eli modeemista voidaan ladata paikallisesti tai verkosta käsin ilman salasanaa rom-0 -tiedosto, josta näkee yksinkertaisen ohjelman (löytyy myös verkkosivu) avulla laitteeseen asetetun salasanan.

Esim. tässä kyseisessä laitteessa hain sen komennolla:

Koodia: [Valitse]

wget http://192.168.1.1/rom-0Lähetin sitten tuon tiedoston eräälle nettisivulle, joka kertoi (resetoidun modeemin) hallintasalasanaksi admin.
Ilmeisesti modeemin graafinen hallintasivu ei lataudu ilman olemassa olevaa nettiyhteyttä?
Tuolla sivustolla: EgyptianVulture: How to fix ZynOS vulnerability & prevent rom-0 access
neuvotaan, miten tuon aukon voisi ilmeisesti korjata manuaalisesti. Sain telnetillä yhteyden modeemin ja pääsin kirjautumaan oletussalasanalla.

Olisiko tuossa syy, etten löytänyt oikeita asetuksia modeemista:

rom-0 vulnerability was discovered by MrNasro. he suggested a solution but I think it is not applicable for the most devices as they don't provide a web interface to change this settings. another person (Piotr Bania) came with a different way to solve it. however it is almost impossible to apply as it requires (smart people only from you to open the router's case & to start reverse engineering the router's memory.

Täytyy mennä huomenna kokeilemaan siskolle, josko tuo auttaisi.

EDIT: Myös Zyxel 660H-61 -modeemista sisäverkon puolelta haettu rom-0-tiedosto paljasti heti muutetun salasanan. Tuo on kyllä kätevää: jos ei tiedä/muista sitä, ei tarvitse turhaan resetoida. 

[jekku]

Tuo kyllä näyttää todella pahalta ja koskee monia ZynOS-käyttöjärjestelmällä varustettuja modeemeita.

Eli modeemista voidaan ladata paikallisesti tai verkosta käsin ilman salasanaa rom-0 -tiedosto, josta näkee yksinkertaisen ohjelman (löytyy myös verkkosivu) avulla laitteeseen asetetun salasanan.

Esim. tässä kyseisessä laitteessa hain sen komennolla:

Koodia: [Valitse]

wget http://192.168.1.1/rom-0---
EDIT: Myös Zyxel 660H-61 -modeemista sisäverkon puolelta haettu rom-0-tiedosto paljasti heti muutetun salasanan. Tuo on kyllä kätevää: jos ei tiedä/muista sitä, ei tarvitse turhaan resetoida. 

Yksi purkki antoi html -sivun jonka mukaan (mm.)

You will now be redirected to the login page.<br />^M
If the login page does not appear, click <a href="/">this link</a>.^M

ja toinen totesi tylysti:

HTTP-pyyntö lähetetty, odotetaan vastausta... 401 Unauthorized
Todentaminen epäonnistui.

Joten on edelleen pidettävä visusti tallessa ne salasanat ;(

[raimo]

EDIT: Myös Zyxel 660H-61 -modeemista sisäverkon puolelta haettu rom-0-tiedosto paljasti heti muutetun salasanan. Tuo on kyllä kätevää: jos ei tiedä/muista sitä, ei tarvitse turhaan resetoida. 

Vaan eipä tule salasanaa minun Zyxel P-660HN-61-T1A v2:ssa, tulee nettisivu jossa on Javascript-ohjaus osoitteeseen /cgi-bin/login.html
Eli ihan OK. Tämä on uudenkarhea Soneran vekotin, johon en ole vielä edes asentanut päivitystä.

[Tomin]

Nää on joskus hienoja: http://hackaday.com/2014/12/07/bad-code-results-in-useless-passwords/
Tossa on siis Arris VAP2500 tukiasema ja siitä löytyi ihan jänniä "oivalluksia" kuten se että istunnon eväste on käyttäjänimi md5 tiivisteenä. Erinomaisen hyvä idea. Tosin positiivista on, että nuo aukot korjattiin laiteohjelmiston päivityksessä kun niistä ilmoitettiin valmistajalle.

[salai]

Yhä pahemmalta näyttää vanhojen (ja joittenkin uusienkin) reitittimien tilanne:
12 miljoonaa reititintä haavoittuvina – kaikki laitteet voi kaapata - Tivi

Hyökkäykseen riittää yhden ainoan haavoittuvuutta hyödyntävän http-evästeen lähettäminen. Se sotkee reitittimen muistin ja antaa rikollisella ylläpitäjän oikeudet.

”Haavoittuvuuden sisältävä koodi on kirjoitettu jo vuonna 2002 ja aukko paikattiin jo 2005. Silti haavoittuva koodi on mukana reitittimien firmware-ohjelmistoissa, joita äsken latasimme. Alalla on jotakin pielessä”, moittii Check Pointin tietoturvatutkija Shahar Tal.

Lista laitteista, joissa epäillään aukon olevan: http://mis.fortunecook.ie/misfortune-cookie-suspected-vulnerable.pdf

[salai]

Päivitys: muistaessa tähän vanhaan aiheeseen:
Kokeilin syksyllä uudelleen tuota Telnet-ohjetta sivustolta:
http://egyptianvulture.blogspot.fi/2014/06/how-to-fix-zynos-vulnerability-prevent.html
ja totesinkin sen toimivaksi, ainakin mainitsemassani  TP-LINK TD-W8101G -modeemissa.