A febbraio, l'austriaco Christian Haschek ha pubblicato nel suo blog un interessante articolo intitolato . Naturalmente, mi sono chiesto cosa succederebbe se ripetessi questo studio, ma già con l'Ucraina. Diverse settimane di raccolta di informazioni a tempo pieno, un paio di giorni per scrivere l'articolo, e durante questa ricerca conversazioni con vari membri della nostra comunità per chiarire e approfondire le informazioni. Continuate a leggere…
TL;DR
Per la raccolta delle informazioni non sono stati utilizzati strumenti speciali (anche se alcune persone hanno suggerito di utilizzare lo stesso OpenVAS per rendere lo studio più approfondito e informativo). La situazione sulla sicurezza degli IP che appartengono all'Ucraina (di seguito spiegherò come sono stati determinati) è, a mio parere, piuttosto grave (e sicuramente peggiore rispetto a ciò che accade in Austria). Non sono stati fatti né programmati tentativi di sfruttare i server vulnerabili scoperti.
Prima di tutto: come si possono ottenere tutti gli indirizzi IP che appartengono a un determinato paese?
È in realtà molto semplice. Gli indirizzi IP non vengono generati dal paese stesso, ma vengono assegnati a esso. Pertanto, esiste un elenco (ed è pubblico) di tutti i paesi e di tutti gli IP che gli appartengono.
Chiunque può , e poi filtrarlo grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv
, permette di fornire l'elenco in un formato più utilizzabile.
All'Ucraina appartiene quasi lo stesso numero di indirizzi IPv4 che all'Austria, oltre 11 milioni. 11.640.409, per essere precisi (per confronto, in Austria sono 11.170.487).
Se non vuoi giocare con gli indirizzi IP da solo (e non vale la pena farlo!), puoi utilizzare il servizio .
Ci sono in Ucraina macchine Windows non aggiornate che hanno accesso diretto a Internet?
Certo, nessun ucraino consapevole aprirebbe tale accesso per i propri computer. O forse sì?
masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -lSono state trovate 5669 macchine Windows con accesso diretto alla rete (in Austria ce ne sono solo 1273, ma anche questo è molto).
Oops. Ci sono tra questi quelli che potrebbero essere attaccati utilizzando exploit ETHERNALBLUE, noto fin dal 2017? In Austria non c'era nessuna macchina di questo tipo, e speravo che in Ucraina non ne venissero trovate. Sfortunatamente, è stato inutile. Sono stati trovati 198 indirizzi IP che non hanno chiuso questa "falla".
DNS, DDoS e la profondità del coniglio
Basta parlare di Windows. Vediamo cosa abbiamo con i server DNS che sono open-resolvers e possono essere utilizzati per un attacco DDoS.
Funziona più o meno così. L'attaccante invia una piccola richiesta DNS, e il server vulnerabile risponde alla vittima con un pacchetto che è 100 volte più grande. Boom! Le reti aziendali possono cadere piuttosto rapidamente da un tale volume di dati, e per l'attacco è necessaria una larghezza di banda che un moderno smartphone può fornire. Ed attacchi di questo tipo sono stati anche su GitHub.
Vediamo se ci sono server di questo tipo in Ucraina.
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -lIl primo passo sarà trovare quelli che hanno la porta 53 aperta. In totale abbiamo una lista di 58.730 indirizzi IP, ma questo non significa che possano tutti essere utilizzati per attacchi DDoS. È necessario che venga soddisfatta la seconda condizione, ossia devono essere open-resolver.
A tal fine, possiamo usare un semplice comando dig e vedere cosa riusciamo a "scavare": dig + short test.openresolver.com TXT @ip.of.dns.server. Se il server risponde con open-resolver-detected, allora può essere considerato un obiettivo potenziale per l'attacco. Gli open resolvers costituiscono circa il 25%, paragonabile all'Austria. In termini di numero totale, si tratta di circa lo 0,02% di tutti gli IP ucraini.
Cosa altro si può trovare in Ucraina?
Sono felice che tu abbia chiesto. È più semplice (e personalmente per me più interessante) vedere gli IP con la porta 80 aperta e cosa c'è sopra.
server web
260.849 indirizzi IP ucraini rispondono sulla porta 80 (http). 125.444 indirizzi hanno risposto positivamente (200 stato) a una semplice richiesta GET, che può essere inviata dal tuo browser. Gli altri hanno restituito vari errori. È interessante notare che 853 server hanno restituito uno stato 500, mentre gli stati più rari sono stati 407 (richiesta di autorizzazione proxy) e l'assolutamente non standard 602 (IP non nella "white list") con una singola risposta.
Apache domina completamente — 114.544 server lo utilizzano. La versione più vecchia che ho trovato in Ucraina è la 1.3.29, uscita il 29 ottobre 2003 (!!!). nginx è al secondo posto con 61.659 server.
11 server utilizzano WinCE, che è stato rilasciato nel 1996 e l'ultimo aggiornamento è avvenuto nel 2013 (in Austria ce ne sono solo 4).
Il protocollo HTTP/2 utilizza 5.144 server, HTTP/1.1 — 256.836, HTTP/1 — 13.491.
Stampanti… perché… perché no?
2 HP, 5 Epson e 4 Canon, che sono accessibili dalla rete, alcuni di essi senza alcuna autorizzazione.
webcam
Non è una novità che in Ucraina ci siano MOLTE webcam che si trasmettono in internet, raccolte su diverse risorse. Almeno 75 camere si trasmettono in internet senza alcuna protezione. Puoi vederle .
Cosa succede dopo?
L'Ucraina è un paese piccolo, proprio come l'Austria, ma ha gli stessi problemi delle grandi nazioni nel campo IT. Abbiamo bisogno di sviluppare una migliore comprensione di ciò che è sicuro e di ciò che non lo è, e i produttori di hardware dovrebbero fornire una configurazione iniziale sicura dei loro dispositivi.
Inoltre, sto raccogliendo aziende partner (), che possono aiutarti a garantire l'integrità della tua infrastruttura IT. Il prossimo passo prevede un'analisi della sicurezza dei siti ucraini. Non andare via!
Fonte: habr.com
