Netcore Routers is een populair netwerkapparatuur merk in China. Nu blijkt dat ze een grote open achterdeur die vrij gemakkelijk kan worden misbruikt door aanvallers. Buiten China worden deze producten verkocht onder de merknaam Netis. Deze backdoor laat cybercriminelen eenvoudig willekeurige code op deze routers draaien.
Hoe werkt deze backdoor?
Simpel gezegd is het een open UDP poort (53413). Deze poort is bereikbaar vanaf de WAN kant van de router. Dit betekent dat als de betreffende router een extern toegankelijke IP-adres heeft dat een aanvaller via het internet toegang tot deze backdoor heeft.
Figuur 1 Netstat uitgang, met web-admin en backdoor-poorten gemarkeerd
Deze backdoor wordt "beschermd" door een enkele, hardcoded wachtwoord gelegen in de firmware van de router. De Netcore/Netis routers lijken allemaal hetzelfde wachtwoord te hebben. Deze "bescherming" is niet effectief, omdat aanvallers gemakkelijk kunnen inloggen en gebruikers deze poort niet kunnen wijzigen of uitschakelen.
Bijna alle Netcore/Netis routers lijken dit beveiligingslek te hebben. Met behulp van ZMap zijn er meer dan twee miljoen IP-adressen met de open UDP-poort te vinden. Bijna al deze routers zijn te vinden in China.
Welke opdrachten kan een aanvaller uitvoeren op een kwetsbare router?
Afgezien van het inloggen, kan een aanvaller bestanden uploaden, downloaden en bestanden uitvoeren op de router. Dit geeft de aanvaller bijna volledige controle over de router. Bijvoorbeeld, kunnen de instellingen worden aangepast om man-in-the-middle-aanval uit te voeren.
Ook kan het gebruikersnaam en wachtwoord bestand via het standaard web-based admin paneel van de router wordt opgeslagen zonder enige vorm van encryptie. Dit bestand kan eenvoudig worden gedownload door de aanvaller, zoals hieronder te zien is:
Figuur 2 Dump van een gebruikersnaam en wachtwoord
Om te bepalen of de router is kwetsbaar, kunnen gebruikers een gebruiken online poort scanner . Een sonde op poort 53413 van een kwetsbare router zou resulteren in iets als dit:
Figuur 3 UDP-poort scan
Gebruikers hebben relatief weinig oplossingen beschikbaar om dit probleem te verhelpen. Ondersteuning voor Netcore routers door open source firmware zoals dd-wrt en tomaat is beperkt; slechts een enkele router lijkt support te hebben. Afgezien van dat, zou de enige adequate alternatief zijn om deze apparaten te vervangen.