Aanvallers openen via UPnP-lek SMB-poorten op 45.000 routers
Aanvallers gebruiken een UPnP-lek in allerlei populaire thuisrouters om de SMB-poorten voor het internet te openen, zodat de achtergelegen machines in het netwerk kunnen worden aangevallen. Hierdoor zouden naar schatting 1,7 miljoen machines mogelijk risico lopen, zo laat internetgigant Akamai weten.
Universal Plug and Play (UPnP) is een veelgebruikt protocol dat het eenvoudiger voor apparaten in een netwerk moet maken om met het internet of andere apparaten op het netwerk te communiceren. De kwetsbaarheid wordt veroorzaakt doordat de routers bepaalde diensten via hun WAN-interface voor het internet beschikbaar stellen, terwijl deze diensten eigenlijk alleen voor de apparaten op het LAN toegankelijk zouden moeten zijn.
Via deze blootgestelde diensten kan een aanvaller NAT-vermeldingen aan de router toevoegen en in sommige gevallen machines achter de router benaderen. In andere gevallen kan een aanvaller "Internet-routable hosts" aan de NAT-tabel toevoegen, waardoor de router als een proxy-server fungeert. In april waarschuwde Akamai al voor aanvallen waarbij kwetsbare routers als proxy werden gebruikt.
Nu meldt de internetgigant dat aanvallers poort 139 en 445 op de router openzetten. Dit zijn de poorten die door Microsoft SMB worden gebruikt. De WannaCry-ransomware verspreidde zich bijvoorbeeld via een kwetsbaarheid in Microsofts SMB-service. Akamai speculeert dat de aanvallers de SMB-poorten openzetten om machines via hetzelfde beveiligingslek aan te vallen.
Volgens Akamai zijn er 277.000 routers met een kwetsbare UPnP-implementatie en zijn bij 45.000 routers daarvan de SMB-poorten opengezet. Op basis van het aantal unieke ip-adressen dat per router werd waargenomen schat Akamai dat 1,7 miljoen achterliggende machines mogelijk risico lopen. Eigenaren van een kwetsbare router krijgen het advies om UPnP uit te schakelen of een nieuwe router te kopen. In deze pdf staat een overzicht van kwetsbare modellen.
Soms vraag je af of mensen geen router kopen, aansluiten, en alles laten zoals het is.
https://www.snbforums.com/threads/new-upnp-exploit-affecting-most-asus-routers-upnproxy-blackhat-proxies-via-nat-injections.46011/page-2#post-400981
Proceed klikken en dsn krijg je de melding of jouw router kwetsbaar is of niet.
Soms vraag je af of mensen geen router kopen, aansluiten, en alles laten zoals het is.
Hij weet niet hoe hij bij de instellingen van zijn router moet komen en zal zeker niet iets aanpassen wat hij niet begrijpt. Net als 90% van de bevolking. Daarom moeten de ISP's ook een veilig modem leveren met een veilige standaardconfiguratie. Niet voor jou en mij, maar voor de 90% die genoeg weten om blij te zijn met een werkende internetverbinding.
Soms vraag je af of mensen geen router kopen, aansluiten, en alles laten zoals het is.
Dat laatste gebeurt maar al te vaak. Dat is een algemeen probleem met thuis ICT, er is geen kundige beheerder aanwezig.
Soms vraag je af of mensen geen router kopen, aansluiten, en alles laten zoals het is.
Hij weet niet hoe hij bij de instellingen van zijn router moet komen en zal zeker niet iets aanpassen wat hij niet begrijpt. Net als 90% van de bevolking. Daarom moeten de ISP's ook een veilig modem leveren met een veilige standaardconfiguratie. Niet voor jou en mij, maar voor de 90% die genoeg weten om blij te zijn met een werkende internetverbinding.
Je hebt helemaal gelijk maar dan krijgen ze weer gezeur dat game consoles niet werken omdat de juiste poorten niet open staan.
Soms vraag je af of mensen geen router kopen, aansluiten, en alles laten zoals het is.
Veel ISP's (zoals Telenet bij mij) denken dat consumenten niet in hun router hoeven te zijn. En daarom maken ze het heel moeilijk om de instellingen aan te passen.
Hoe heb je gecontroleerd dat het uit staan? Alleen naar de checkbox gekeken? Niet slim.
Ziggo heeft ooit routers geleverd waar je UPnP kon uitschakelen, maar na een herstart stond UPnP weer aan zonder dat de checkbox dit aangaf. Je moest het dan eerste weer 'aan' zetten en vervolgens weer 'uit' zetten om het echt uit te zetten. En dan maar hopen dat je er aan denkt dit te herhalen nadat de router even geen stroom gehad heeft.
Gelukkig is dit met een firmware update opgelost. In elk geval geeft dit aan dat je niet naar een checkbox moet kijken, maar moet kijken of de functionaliteit ook echt niet meer reageert.
terwijl de header voor een response bij een aanval "Microsoft-HTTPAPI/2.0." is,
waarbij te letten valt op bijvoorbeeld (SSDP/UPnP),
Het ironische hierbij is nu juist, dat alle nieuwere versies van UPnP een zeer minimale core beveiliging bezitten.
UPnP-aanvallen kunnen gebruikt worden om chaos te scheppen, om gaten in firewall te schieten e.d.
UPnP doodsimpel of simpel te dodelijk gevaarlijk om open te laten staan?
het is jaren bekend dat dit vragen is voor rottigheid
het is jaren bekend dat dit vragen is voor rottigheid
Misschien omdat veel gameboxen dit nodig hebben? Of in ieder geval vroeger...... En de meeste gebruikers snappen echt helemaal niets van NAT regels..... Dus voor die gebruikers in upnp noodzakelijk.
te omzeilen. Misschien moeten de gameboxen dat ook maar eens gaan doen? Je wilt toch niet verantwoordelijk zijn
voor veiligheidsproblemen op internet lijkt me.
Misschien omdat veel gameboxen dit nodig hebben? Of in ieder geval vroeger...... En de meeste gebruikers snappen echt helemaal niets van NAT regels..... Dus voor die gebruikers in upnp noodzakelijk.
te omzeilen. Misschien moeten de gameboxen dat ook maar eens gaan doen? Je wilt toch niet verantwoordelijk zijn
voor veiligheidsproblemen op internet lijkt me.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
