⏺ Роутеры с «вечным VPN» с российских маркетплейсов: admin:admin, открытые порты и доступ к соседям

Хотим похвастаться материалом, который Катя вместе с коллегами из «Бастион» написала на Хабр. Тема актуальная — изучение популярных нынче роутеров с предустановленным VPN, продающихся на отечественных маркетплейсах.

Иван Глинкин, специалист по инфраструктурному тестированию и аппаратному хакингу, а также автор канала @EASM_HydrAttack, выкупил, разобрал и внимательно изучил три таких VPN-роутера. В результате нашел много неприятного:

🗄 Пароли admin:admin (не шутка), нехешированные пароли в прошивке, слитые хеши на хакерских форумах. 🗄 Несегментированная VPN-сеть, из-за чего любой из владельцев роутеров может зайти к «соседу», а при наличии базовых знаний в хакинге ломануть админа подсети. 🗄 У продавца есть полный доступ к устройству по-умолчанию. 🗄 Обещают «вечный» VPN на высоких скоростях без подписки и по цене роутера, по факту эти «пожизненные» серваки работают на дешевом хостинге за $2,5.

💬 Про все найденные баги и подробную техническую информацию читайте в статье на Хабре.

Маловероятно, что все эти баги прям какая-то целенаправленная кампания хакеров. Скорее тут надо поднимать вопрос максимально уебанского отношения продавцов роутеров с VPN к вопросам кибербезопасности. Они настолько преисполнились в своем познании, что даже минимальные усилия к защите устройств, подсетей, а также собственных админов и покупателей не прилагают. Без преувеличения хочется сказать, что это преступная халатность, которая может привести к серьезным последствиям.

Несколько лет назад на Хабре вышла отличная статья «Трояны и бэкдоры в кнопочных мобильных телефонах российской розницы», где поднимались аналогичные вопросы относительно безопасности телефонов, которые вполне легально продаются в магазинах. С роутерами то же самое — их продажа на маркетплейсах не регулируется, заводские устройства перепрошиты неизвестно кем и продаются с рук людьми, которые не несут абсолютно никакой ответственности за утечки данных клиентов.

#кибербез #роутеры #Бастион

@divannyi_it подписаться