Il cliente Cox Communications, il terzo più grande fornitore di televisione via cavo negli Stati Uniti e uno dei principali operatori di accesso a banda larga, con 6,5 milioni di abbonati, ha pubblicato i risultati di esperimenti con un Web API interno utilizzato dal fornitore, accessibile per richieste esterne e impiegato, tra l'altro, per consentire al servizio di supporto di accedere ai modem degli abbonati e al database degli utenti. È emerso che conoscendo solo l'indirizzo MAC del dispositivo dell'abbonato si può ottenere il controllo completo sul modem, permettendo di modificare le impostazioni e di eseguire qualsiasi comando sul modem. Di fatto, qualsiasi attaccante può accedere al modem, simile all'accesso ingegneristico fornito dal servizio di supporto dell'operatore telecomunicazioni.
È interessante notare che l'indirizzo MAC del dispositivo dell'abbonato può essere ottenuto tramite una richiesta a un Web API pubblico senza autenticazione, utilizzando la funzione di ricerca degli abbonati, ad esempio, effettuando una ricerca tramite email o numero di conto (iterando i numeri è possibile scaricare sequenzialmente i dati sui clienti). Oltre all'indirizzo MAC, vengono restituite anche altre informazioni sull'abbonato, inclusi indirizzo, telefono, nome completo e email. Tutte le informazioni sono disponibili per le richieste da rete esterna senza autenticazione. Inoltre, è possibile non solo ottenere le informazioni, ma anche modificarle. In totale, l'API pubblicamente accessibile conta oltre 700 gestori, molti dei quali implementano operazioni di amministrazione.
Per verificare la trasmissione di comandi e impostazioni ai modem degli utenti è stato utilizzato un parametro crittografato, ma le funzioni per la crittografia sono state trovate in uno degli script in JavaScript forniti dal sito webcdn-business.cox.com. La chiave per la crittografia è stata identificata impostando un punto di interruzione su queste funzioni nel debugger JavaScript del browser durante la registrazione sul sito myaccount-business.cox.com. La chiave per la crittografia veniva generata utilizzando l'indirizzo MAC, l'identificatore del dispositivo e il numero di conto dell'utente, oltre a diversi parametri ausiliari come il modello del dispositivo e la modalità di accesso.
Lo scenario di attacco consiste nella ricerca della vittima attraverso un Web API pubblico, utilizzando una richiesta per nome, numero di telefono, email o numero di conto. Successivamente, l'attaccante si rivolge al Web API per scaricare l'intero set di dati personali dell'abbonato, utilizzando l'UUID ottenuto nella fase di ricerca iniziale. Usando l'indirizzo MAC del modem, indicato tra i dati dell'abbonato, l'attaccante può visualizzare l'elenco dei dispositivi connessi al modem, cambiare qualsiasi parametro sul modem, richiedere la password utilizzata per la connessione Wi-Fi e eseguire qualsiasi comando sul dispositivo, il che può essere utilizzato, ad esempio, per condurre analisi o deviare il traffico degli utenti.
Fonte: opennet.ru
