Ένας πελάτης της Cox Communications, του τρίτου μεγαλύτερου παρόχου καλωδιακής τηλεόρασης στις Ηνωμένες Πολιτείες και ενός από τους μεγαλύτερους παρόχους ευρυζωνικών υπηρεσιών με 6.5 εκατομμύρια συνδρομητές, δημοσίευσε τα αποτελέσματα των πειραμάτων με το εσωτερικό API Web του παρόχου, προσβάσιμο σε εξωτερικά αιτήματα και χρησιμοποιήθηκε, μεταξύ άλλων , για πρόσβαση στο γραφείο βοήθειας σε μόντεμ συνδρομητών και στη βάση χρηστών. Αποδείχθηκε ότι γνωρίζοντας μόνο τη διεύθυνση MAC της συσκευής συνδρομητή, μπορείτε να αποκτήσετε πλήρη έλεγχο του μόντεμ, επιτρέποντάς σας να αλλάξετε τις ρυθμίσεις και να εκτελέσετε τυχόν εντολές στο μόντεμ. Ουσιαστικά, οποιοσδήποτε εισβολέας μπορεί να αποκτήσει πρόσβαση στο μόντεμ, παρόμοια με την πρόσβαση μηχανικής που έχει το γραφείο βοήθειας ενός παρόχου.
Αξίζει να σημειωθεί ότι η διεύθυνση MAC της συσκευής συνδρομητή μπορεί να βρεθεί με πρόσβαση στο δημόσιο API Web χωρίς έλεγχο ταυτότητας, χρησιμοποιώντας τη λειτουργία αναζήτησης συνδρομητών, για παράδειγμα, επιλέγοντας ένα email ή έναν αριθμό λογαριασμού (με αναζήτηση στους αριθμούς, μπορείτε να κάνετε διαδοχική λήψη στοιχεία πελάτη). Εκτός από τη διεύθυνση MAC, εμφανίζονται και άλλες πληροφορίες σχετικά με τον συνδρομητή, όπως διεύθυνση, αριθμός τηλεφώνου, πλήρες όνομα και email. Όλες οι πληροφορίες είναι διαθέσιμες για αιτήματα από το εξωτερικό δίκτυο χωρίς έλεγχο ταυτότητας. Σε αυτήν την περίπτωση, οι πληροφορίες όχι μόνο μπορούν να ληφθούν, αλλά και να αλλάξουν. Συνολικά, το δημόσια προσβάσιμο API διαθέτει περισσότερους από 700 χειριστές, πολλοί από τους οποίους υλοποιούν λειτουργίες διαχείρισης.
Χρησιμοποιήθηκε μια κρυπτογραφημένη παράμετρος για την επαλήθευση της μετάδοσης εντολών και ρυθμίσεων στα μόντεμ χρήστη, αλλά οι λειτουργίες κρυπτογράφησης βρέθηκαν σε ένα από τα σενάρια JavaScript που παρέχονται από το webcdn-business.cox.com. Το κλειδί κρυπτογράφησης καθορίστηκε ορίζοντας ένα σημείο διακοπής σε αυτές τις λειτουργίες στο πρόγραμμα εντοπισμού σφαλμάτων JavaScript του προγράμματος περιήγησης κατά την εγγραφή στον ιστότοπο myaccount-business.cox.com. Το κλειδί κρυπτογράφησης δημιουργήθηκε χρησιμοποιώντας τη διεύθυνση MAC, το αναγνωριστικό συσκευής και τον αριθμό λογαριασμού χρήστη, καθώς και πολλές βοηθητικές παραμέτρους, όπως το μοντέλο της συσκευής και τον τύπο πρόσβασης.
Το σενάριο επίθεσης συνοψίζεται στην αναζήτηση ενός θύματος μέσω ενός δημόσιου API Ιστού, χρησιμοποιώντας ένα αίτημα με όνομα, αριθμό τηλεφώνου, email ή αριθμό λογαριασμού. Στη συνέχεια, ο εισβολέας έχει πρόσβαση στο Web API για λήψη του πλήρους συνόλου των προσωπικών δεδομένων του συνδρομητή, χρησιμοποιώντας το UUID που αποκτήθηκε κατά την αναζήτηση στο πρώτο στάδιο. Χρησιμοποιώντας τη διεύθυνση MAC του μόντεμ, που καθορίζεται μεταξύ των δεδομένων συνδρομητή, ένας εισβολέας μπορεί να δει τη λίστα των συσκευών που είναι συνδεδεμένες στο μόντεμ, να αλλάξει τυχόν παραμέτρους στο μόντεμ, να ζητήσει τον κωδικό πρόσβασης που χρησιμοποιείται για τη σύνδεση στο Wi-Fi και να εκτελέσει οποιεσδήποτε εντολές στη συσκευή που μπορεί να εφαρμοστεί, για παράδειγμα, για την οργάνωση ανάλυσης ή ανακατεύθυνσης της επισκεψιμότητας των χρηστών.
Πηγή: opennet.ru
