Ich habe die Ukraine gescannt

Im Februar veröffentlichte der Österreicher Christian Haschek in seinem Blog einen interessanten Artikel mit dem Titel „Ich scannte ganz Österreich“. Natürlich war ich neugierig, was passieren würde, wenn man diese Studie mit der Ukraine wiederholen würde. Nach vielen Wochen intensiver Informationssammlung und ein paar Tagen, um den Artikel zu verfassen, sowie Gesprächen mit verschiedenen Vertretern unserer Gesellschaft, um präzisere Informationen zu erhalten. Bitte lesen Sie weiter…

TL;DR

Für die Informationssammlung wurden keine speziellen Mittel eingesetzt (obwohl einige Personen empfahlen, dasselbe OpenVAS zu verwenden, um die Untersuchung gründlicher und informativer zu gestalten). Die Sicherheit der IP-Adressen, die zur Ukraine gehören (darüber weiter unten), ist meiner Meinung nach eher schlecht (und ganz sicher schlechter als das, was in Österreich passiert). Es wurden keine Versuche unternommen, die entdeckten verwundbaren Server zu nutzen, und es sind auch keine geplant.

Zunächst: Wie kann man alle IP-Adressen erhalten, die zu einem bestimmten Land gehören?

Das ist tatsächlich sehr einfach. IP-Adressen werden nicht von dem Land selbst generiert, sondern diesem zugeteilt. Daher gibt es eine Liste (und die ist öffentlich) aller Länder und aller IP-Adressen, die ihnen gehören.

Jeder kann sie herunterladen, und dann mit grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv filtern.

Ein einfaches Skript, das Christian erstellt hat,, ermöglicht es, die Liste in ein nützlicheres Format zu bringen.

Die Ukraine besitzt fast so viele IPv4-Adressen wie Österreich, über 11 Millionen. Genauer gesagt 11 640 409 (zum Vergleich: in Österreich sind es 11 170 487).

Wenn Sie nicht selbst mit IP-Adressen spielen möchten (und das sollte man wirklich nicht!), können Sie den Dienst Shodan.io.

nutzen. Gibt es in der Ukraine nicht gepatchte Windows-Maschinen, die direkten Zugriff auf das Internet haben?

Natürlich wird kein vernünftiger Ukrainer solchen Zugriff für seine Computer öffnen. Oder etwa doch?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

5669 Windows-Maschinen mit direktem Zugang zum Netzwerk wurden gefunden (in Österreich sind es nur 1273, aber das ist auch schon viel).

Ups. Gibt es darunter welche, die mit Hilfe von ETHERNALBLUE, das seit 2017 bekannt ist, angegriffen werden könnten? In Österreich gab es kein einziges solches Gerät, und ich hatte gehofft, dass auch in der Ukraine keine gefunden werden würden. Leider war das umsonst. Es wurden 198 IP-Adressen gefunden, die dieses "Loch" nicht geschlossen haben.

DNS, DDoS und die Tiefe des Kaninchenbaus

Genug von Windows. Schauen wir uns an, was wir mit den DNS-Servern haben, die Open-Resolver sind und für DDoS-Angriffe genutzt werden können.

Das funktioniert ungefähr so. Der Angreifer sendet eine kleine DNS-Anfrage, und der anfällige Server antwortet dem Opfer mit einem Paket, das 100-mal größer ist. Boom! Unternehmensnetzwerke können durch solch große Datenmengen ziemlich schnell zusammenbrechen, und für den Angriff ist eine Bandbreite erforderlich, die ein modernes Smartphone bereitstellen kann. Solche Angriffe gab es nicht selten sogar auf GitHub.

Lass uns schauen, ob es solche Server in der Ukraine gibt.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

Als ersten Schritt finden wir die, die einen offenen Port 53 haben. Dabei haben wir eine Liste von 58.730 IP-Adressen, aber das bedeutet noch nicht, dass sie alle für DDoS-Angriffe verwendet werden können. Es muss das zweite Kriterium erfüllt sein, nämlich dass sie Open-Resolver sind.

Dafür kann man den einfachen Befehl dig verwenden und sehen, was man "ausgraben" kann: dig +short test.openresolver.com TXT @ip.of.dns.server. Wenn der Server mit open-resolver-detected antwortete, kann er als potenzielles Angriffsziel angesehen werden. Open-Resolver machen etwa 25% aus, was mit Österreich vergleichbar ist. In Bezug auf die Gesamtzahl sind das etwa 0,02% aller ukrainischen IPs.

Was kann man noch in der Ukraine finden?

Ich freue mich, dass Sie fragen. Es ist einfacher (und für mich persönlich am interessantesten), die IPs mit offenem Port 80 zu betrachten und was darauf läuft.

Webserver

260.849 ukrainische IPs antworten auf Port 80 (http). 125.444 Adressen haben positiv (Status 200) auf eine einfache GET-Anfrage geantwortet, die Ihr Browser senden kann. Die übrigen gaben die eine oder andere Fehlermeldung aus. Interessanterweise gaben 853 Server einen Status 500 aus, und die seltensten Status waren 407 (Anfrage zur Proxy-Authentifizierung) und der absolut nicht standardmäßige 602 (IP nicht auf der "Whitelist") mit jeweils einer Antwort.

Apache dominiert absolut – 114.544 Server verwenden ihn. Die älteste Version, die ich in der Ukraine gefunden habe, ist 1.3.29, erschienen am 29. Oktober 2003 (!!!). nginx steht mit 61.659 Servern an zweiter Stelle.

11 Server nutzen WinCE, das 1996 veröffentlicht wurde und 2013 nicht mehr gepatcht wurde (in Österreich sind es nur 4).

Das Protokoll HTTP/2 verwendet 5.144 Server, HTTP/1.1 – 256.836, HTTP/1 – 13.491.

Drucker… weil… warum nicht?

2 HP, 5 Epson und 4 Canon, die aus dem Netzwerk verfügbar sind, einige davon ohne jegliche Authentifizierung.

Webcams

Es ist keine Neuigkeit, dass es in der Ukraine SEHR viele Webcams gibt, die sich ins Internet übertragen und auf verschiedenen Ressourcen gesammelt wurden. Mindestens 75 Kameras streamen ins Internet ohne jeglichen Schutz. Man kann sie sich ansehen hier.

Was folgt jetzt?

Die Ukraine ist ein kleines Land, wie Österreich, hat aber die gleichen Probleme wie große Länder im IT-Bereich. Wir müssen ein besseres Verständnis dafür entwickeln, was sicher und was gefährlich ist, und die Gerätehersteller sollten eine sichere Grundkonfiguration ihrer Geräte bereitstellen.

Außerdem sammle ich Partnerunternehmen (Partner werden), die Ihnen helfen können, die Integrität Ihrer IT-Infrastruktur zu sichern. Im nächsten Schritt plane ich eine Sicherheitsüberprüfung ukrainischer Websites. Bleiben Sie dran!

Quelle: habr.com