Die Kompromittierung des Administrator-Kontos führte zu einem nahezu vierstündigen Ausfall beim zweitgrößten spanischen Telekommunikationsanbieter Orange Espagne, der 11 Millionen Kunden bedient. Ein vorhersehbares Passwort „ripeadmin“ wurde für den Zugriff auf die RIPE NCC-Registrierungsoberfläche von Orange Espagne verwendet, und die Zwei-Faktor-Authentifizierung war nicht aktiviert.
Das Passwort für RIPE wurde während eines Angriffs auf das System eines Mitarbeiters von Malware abgefangen und war seit September in Datenbanken kompromittierter Passwörter auf dem Schwarzmarkt erhältlich. Bemerkenswert ist, dass neben dem Konto von Orange Espagne auch Tausende anderer Konten für den Zugang zu access.ripe.net in diesen Datenbanken vorhanden sind, die potenziell für ähnliche Angriffe verwendet werden könnten.
Der Vorfall blieb bis zum 2. Januar unentdeckt, als ein Vandale in die webbasierte Benutzeroberfläche von RIPE NCC eindrang und Änderungen an den BGP- und RPKI-Einstellungen (Resource Public Key Infrastructure) vornahm, was dazu führte, dass für fast vier Stunden das Routing von etwa der Hälfte des Datenverkehrs des Telekommunikationsanbieters gestört war. Die Handlungen der Angreifer hatten zur Folge, dass die RPKI-Technologie, die dazu dient, BGP-Ankündigungen vor Fälschungen zu schützen, verwendet wurde, um legitime Ankündigungen zu blockieren.
Der Angreifer erstellte mehrere neue RPKI ROA (Route Origin Authorization)-Einträge, darunter Einträge, die große Adressblöcke von Orange Espagne mit einem fremden autonomen System verknüpften, was dazu führte, dass korrekte BGP-Ankündigungen von diesem Anbieter auf den Routern vieler Großanbieter blockiert wurden. Infolgedessen reduzierte sich die Anzahl der an Orange Espagne gebundenen BGP-Routen von 9200 auf 7400, und der Datenverkehr brach um fast die Hälfte ein.
RPKI (Resource Public Key Infrastructure) wird zur Authentifizierung von BGP-Ankündigungen verwendet und ermöglicht es festzustellen, ob eine BGP-Ankündigung vom Eigentümer des Netzwerks stammt oder nicht. Bei der Verwendung von RPKI für autonome Systeme und IP-Adressen Es entsteht eine Vertrauensbasis von IANA zu den regionalen Registraren (RIRs) und dann zu den Anbietern (LIR) sowie den Endverbrauchern, die es Dritten ermöglicht, zu überprüfen, dass eine Transaktion mit einer Ressource vom Eigentümer durchgeführt wurde. Ohne Autorisierung könnte jeder Betreiber ein Subnetz mit falschen Routeninformationen ankündigen und den Transit eines Teils des Traffics anderer Systeme initiieren, die keine Ankündigungsfilterung verwenden.
Quelle: opennet.ru
