Die Kompromittierung des Administrator-Accounts führte zu einem fast vierstündigen Ausfall des zweitgrößten spanischen Telekommunikationsanbieters Orange Espagne, der 11 Millionen Kunden bedient. Bei Orange Espagne wurde das Passwort „ripeadmin“ verwendet, um auf das Interface des RIPE NCC zuzugreifen, und die Zwei-Faktor-Authentifizierung war nicht aktiviert.
Das Passwort für RIPE wurde während eines Angriffs auf das System eines Mitarbeiters durch Malware abgefangen und war seit September in den auf dem Schwarzmarkt verkauften Datenbanken mit kompromittierten Passwörtern verfügbar. Bemerkenswert ist, dass neben dem Account von Orange Espagne in diesen Datenbanken auch Tausende anderer Konten für den Zugriff auf access.ripe.net vorhanden sind, die potenziell für ähnliche Angriffe verwendet werden könnten.
Der Vorfall blieb bis zum 2. Januar unentdeckt, bis ein Vandale in das Web-Interface der RIPE NCC eindrang und Änderungen an den BGP- und RPKI-Einstellungen (Resource Public Key Infrastructure) vornahm, was fast vier Stunden lang die Routing von etwa der Hälfte des Traffics des Telekommunikationsanbieters unterbrach. Die Aktivitäten der Angreifer führten dazu, dass die RPKI-Technologie, die dazu gedacht ist, BGP-Ankündigungen vor Fälschungen zu schützen, dazu verwendet wurde, legitime Ankündigungen zu blockieren.
Der Angreifer erstellte mehrere neue RPKI ROA (Route Origin Authorization)-Einträge, darunter Einträge, die große Adressblöcke von Orange Espagne mit einem fremden autonomen System verknüpften. Dies führte dazu, dass korrekte BGP-Ankündigungen von diesem Anbieter auf den Routern vieler Backbone-Anbieter blockiert wurden. Infolgedessen verringerte sich die Anzahl der an Orange Espagne gebundenen BGP-Routen von 9200 auf 7400, und der Traffic fiel beinahe um die Hälfte.
RPKI (Resource Public Key Infrastructure) wird zur Autorisierung von BGP-Ankündigungen verwendet und ermöglicht festzustellen, ob eine BGP-Ankündigung vom Eigentümer des Netzwerks stammt oder nicht. Bei der Verwendung von RPKI für autonome Systeme und IP-Adressen Es wird eine Vertrauensbasis von IANA über die regionalen Registrare (RIRs) bis hin zu den Providern (LIR) und den Endverbrauchern aufgebaut. Dies ermöglicht es Dritten, sich zu vergewissern, dass die Ressourcennutzung vom Eigentümer vorgenommen wurde. Ohne Autorisierung kann jeder Betreiber ein Subnetz mit falschen Routing-Informationen ankündigen und den Transit von Teilen des Traffics anderer Systeme, die keine Ankündigungsfilterung durchführen, initiieren.
Quelle: opennet.ru
