Alerta – Routers D-Link são fáceis de atacar

Encontrado um backdoor que permite o acesso ao equipamento

A segurança informática é um dos assuntos mais discutidos nos últimos meses. Hoje em dia, os utilizadores vivem “assombrados” e parece que já nenhum serviço/equipamento tecnológico é merecedor da confiança do consumidor.

As ultimas noticias sobre “insegurança” dão conta que a D-link implementou um backdoor em alguns modelos dos seus equipamentos e que estes continuam completamente vulneráveis.

A onda recente de (in)segurança …

Tudo começou com o caso Edward Snowden que decidiu denunciar um mega sistema de vigilância americano, o PRISM (Programa de vigilância de telecomunicações altamente secreto). Depois as várias suspeitas de pedidos de espionagem informática da Agência Nacional de Segurança dos Estados Unidos da América (NSA) aos  gigantes da da Internet…e até as ultimas noticias que dão conta que a Agência Nacional de Segurança do EUA consegue “espiar” até o tráfego em VPNs e em outras comunicações cifradas…mas há mais….muitos mais – ver aqui!

O Backdoor da D-Link

Segundo uma publicação do autor do site devttys0, no passado Sábado, existem um backdoor implementado em alguns modelos dos routers D-Link.

Para quem não sabe, um backdoor é uma falha de segurança que permite a invasão do sistema, podendo este ser totalmente controlado remotamente. Além disso, com esta “porta” aberta, os ataques além de obterem informações podem também injectar código malicioso.

Na prática, esta “porta de entrada” no equipamento, pode ser facilmente usada, bastando que o atacante mude o “user-agent” (ou seja, uma string que fornece informações do nosso browser ao sistema que acedemos) para “xmlset_roodkcableoj28840ybtide”,

Com essa alteração, qualquer utilizador passa a conseguir entrar no router sem qualquer tipo de autenticação e visualizar/alterar as configurações do equipamento.

Como explicação mais técnica, quando o software de gestão do router procede à comparação de um http_request e verifica que o user-agent é “xmlset_roodkcableoj28840ybtide”, então ignora a função de autenticação e a função alpha_auth_check retorna o valor 1 (ou seja, autenticação com sucesso).

Segundo o autor da descoberta, tal String já tinha sido referenciada há alguns anos num fórum Russo que reportava que a string “xmlset_roodkcableoj28840ybtide” era uma “linha interessante” dentro do ficheiro /bin/webs que faz parte da estrutura do software de gestão dos routers D-Link.

Pelo que tem vindo a ser divulgado, aparentemente o binário /bin/webs contem uma versão modificada do serviço httpd que é responsável pela interface de gestão do equipamento….E ao que tudo indicada, a alteração foi efectuada pela Alphanetworks, uma spin-off da D-Link.

Modelos DLink Afectados

Esta falha de segurança afecta principalmente os seguintes equipamentos que têm o firmware v1.13:

• DIR-100
• DI-524
• DI-524UP
• DI-604S
• DI-604UP
• DI-604+

Aparentemente, há também informações que os seguintes dois modelos estão também vulneráveis:

• BRL-04UR
• BRL-04CW

Debate

Uma falha de segurança a este nível (já que, ao que parece foi teve o consentimento da própria D-Link), pode levar uma empresa deste dimensão a tornar-se um inimigo publico. Até ao momento ainda não há qualquer informação oficial por parte da D-link mas…era importante saber porque implementaram tal backdoor…qual a finalidade do mesmo. Num pesquisa rápida usando o Shodan, podemos ver que existem muitos equipamentos vulneráveis pelo mundo fora.

Enquanto não existe um upgrade do firmware é aconselhável que façam um downgrade do mesmo, evitando assim tal exposição. Lembrem-se que o router assume o endereço publico da vossa ligação, estando assim  acessível a partir de qualquer parte do mundo.

UPDATE

Segundo informações ao Pplware, a D-Link comunicou que está a trabalhar na publicação de um firmware que solucione este problema e este será publicado em breve na página de suporte oficial. Não obstante, esclarecemos que este problema só afecta modelos de routers muito antigos, já descatalogados e alguns nem chegaram a ser distribuídos em Portugal:

•  DIR-100 (comercializado há 5 anos)
• DI-524 (comercializado há 8 anos)
• DI-524UP (comercializado há 8 anos)
• DI-604S (não comercializado)
• DI-604UP (não comercializado)
• DI-604+ (não comercializado) (Alpha device TM-G5240)