Cisco ostrzega klientów o atakach instalujących nieuczciwe oprogramowanie sprzętowe na sprzęcie sieciowym

Instalacja nieuczciwego oprogramowania na urządzeniach wbudowanych od dawna budzi obawy badaczy bezpieczeństwa i wydaje się, że takie ataki zaczęły zyskiwać na popularności u hakerów.

Cisco Systems ostrzega we wtorek, że jest świadomy ograniczona liczba przypadków, w których napastnicy zastąpili oprogramowanie rozruchowe na urządzeniach z systemem operacyjnym IOS. IOS działa na większości routerów i przełączników Cisco i zapewnia kompleksowy zestaw narzędzi i funkcji sieciowych.

Atakujący użyli poprawnych poświadczeń administracyjnych w celu zastąpienia obrazu ROMMON na urządzeniach IOS, powiedział Cisco.

[Więcej informacji: Best NAS skrzynki do strumieniowego przesyłania i kopiowania multimediów]

ROMMON, czyli ROM Monitor, to oprogramowanie niskiego poziomu odpowiedzialne za inicjowanie sprzętu i uruchamianie systemu IOS. Oznacza to, że atak jest równoznaczny z zastąpieniem systemu BIOS lub UEFI (Unified Extensible Firmware Interface) na komputerach PC złośliwą wersją.

"W tym ataku nie występuje luka w zabezpieczeniach produktu, a atakujący wymaga prawidłowych poświadczeń administracyjnych lub fizycznego dostępu do system odniósł sukces ", powiedział Cisco w swoim doradztwie. "Możliwość zainstalowania uaktualnionego obrazu ROMMON na urządzeniach IOS to standardowa, udokumentowana funkcja, którą administratorzy wykorzystują do zarządzania swoimi sieciami."

Nie jest jasne, w jaki sposób osoby atakujące uzyskały poświadczenia administracyjne używane w kompromisach ROMMON postrzeganych przez Cisco, ale powinno to być ostrzeżeniem dla firm posiadających sprzęt IOS, na którym są administratorzy sieci.

Dla atakujących, zaletą instalowania złośliwego obrazu ROMMON na urządzeniu jest to, że powoduje on uporczywe kompromisy, ponieważ typowe infekcje IOS nie przetrwają po ponownym uruchomieniu.

Naukowcy od dawna podkreślają ryzyko, że atakujący będą migać fałszywym oprogramowaniem na urządzeniach wbudowanych w przypadku braku zabezpieczeń, takich jak zaszyfrowane i podpisane cyfrowo aktualizacje. Jednak ataki z użyciem tej metody do tej pory były rzadkością.

Cisco po raz pierwszy wprowadziło funkcję weryfikacji cyfrowego podpisu oprogramowania w oprogramowaniu IOS Software Release 15.0 (1) M dla routerów Cisco 1900, 2900 i 3900, a także w IOS XE Release 3.1.0SG dla przełączników Cisco Catalyst 4500 z serii E.

Zapobieganie, wykrywanie i usuwanie kompromisów urządzeń Cisco IOS, zespół reagowania na incydenty bezpieczeństwa produktu firmy doradza klientom, aby postępowali zgodnie z zaleceniami opisanymi w trzech dokumentach: Cisco IOS Software Integrity Assurance, Cisco Przewodnik po urządzeniach Harden IOS i monitorowaniu integralności urządzeń infrastruktury telemetrycznej.