Jeg skannet Ukraina

I februar publiserte den østerrikske Christian Haschek en interessant artikkel på bloggen sin med tittelen «Jeg skannet hele Østerrike». Selvfølgelig ble jeg nysgjerrig på hva som ville skje om jeg gjentok denne forskningen, men med Ukraina. Flere ukers døgnovervåkning av informasjon, enda et par dager for å skrive artikkelen, og i løpet av denne forskningen samtaler med ulike medlemmer av samfunnet vårt, for å avklare og lære mer. Jeg ber om at du leser videre…

TL;DR

Ingen spesielle midler ble brukt for å samle informasjon (selv om flere personer anbefalte å bruke OpenVAS for å gjøre forskningen mer grundig og informativ). Når det gjelder IP-sikkerheten som tilhører Ukraina (mer om hvordan dette ble bestemt nedenfor), synes jeg situasjonen er ganske dårlig (og helt klart verre enn i Østerrike). Ingen forsøk på å bruke de sårbare serverne som ble oppdaget er gjort eller planlagt.

Først og fremst: hvordan kan man få tak i alle IP-adresser som tilhører et bestemt land?

Det er faktisk veldig enkelt. IP-adresser genereres ikke av landet selv, men tildeles det. Derfor finnes det en liste (og den er offentlig) over alle land og alle IP-er som tilhører dem.

Hvem som helst kan laste den ned, og deretter filtrere det med grep Ukraine IP2LOCATION-LITE-DB1.CSV> ukraine.csv

Et enkelt skript laget av Christianlar deg konvertere listen til et mer brukbart format.

Ukraina har nesten like mange IPv4-adresser som Østerrike, mer enn 11 millioner. Nøyaktig 11 640 409 (til sammenligning i Østerrike — 11 170 487).

Hvis du ikke vil leke med IP-adresser selv (og det bør du ikke!), kan du bruke tjenesten Shodan.io.

Finnes det ubeskyttede Windows-maskiner i Ukraina som har direkte tilgang til internett?

Selvfølgelig vil ingen bevisste ukrainere åpne slik tilgang til sine datamaskiner. Eller vil de?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

5669 Windows-maskiner med direkte tilgang til nettverket ble funnet (i Østerrike var det bare 1273, men det er også mye).

Oops. Are there any that could be attacked using the ETHERNALBLUE exploits, known since 2017? There were none of these machines in Austria, and I hoped there wouldn't be any found in Ukraine either. Unfortunately, that's useless. A total of 198 IP addresses were discovered that haven't closed this 'hole' on their end.

DNS, DDoS, and the depth of the rabbit hole

Enough about Windows. Let's see what we have with DNS servers that are open resolvers and can be used for DDoS attacks.

It works something like this. The attacker sends a small DNS request, and the vulnerable server responds to the victim with a packet that is 100 times larger. Boom! Corporate networks can go down pretty quickly from such a data volume, and the bandwidth needed for the attack can be provided by a modern smartphone. And such attacks have been not uncommon even on GitHub.

Let's see if there are any such servers in Ukraine.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

The first step is to find those that have an open port 53. As a result, we have a list of 58,730 IP addresses, but that doesn't mean they can all be used for DDoS attacks. The second requirement is that they must be open resolvers.

To do this, you can use the simple dig command and see what we can 'dig up': dig +short test.openresolver.com TXT @ip.of.dns.server. If the server responds with open-resolver-detected, it can be considered a potential attack target. Open resolvers make up about 25%, which is comparable to Austria. In terms of total numbers, that's about 0.02% of all Ukrainian IPs.

What else can be found in Ukraine?

I'm glad you asked. It's easier (and most interesting for me personally) to look for IPs with an open port 80 and see what's 'running' on them.

web servers

260,849 Ukrainian IPs respond on port 80 (http). 125,444 addresses gave a positive response (200 status) to a simple GET request that your browser can send. The rest returned various errors. Interestingly, 853 servers returned a 500 status, while the rarest statuses were 407 (proxy authorization required) and the absolutely non-standard 602 (IP not in the 'whitelist') with one response each.

Apache is absolutely dominant—114,544 servers are using it. The oldest version I found in Ukraine is 1.3.29, released on October 29, 2003 (!!!). Nginx comes in second with 61,659 servers.

11 servere bruker WinCE, som ble lansert i 1996, og ble sist oppdatert i 2013 (i Østerrike er det bare 4).

Protokollen HTTP/2 bruker 5 144 servere, HTTP/1.1 — 256 836, HTTP/1 — 13 491.

Skrivere… fordi… hvorfor ikke?

2 HP, 5 Epson og 4 Canon som er tilgjengelige over nettverket, noen av dem uten autentisering.

webkameraer

Det er ikke noen overraskelse at det finnes VELDIG mange webkameraer i Ukraina som strømmer til internett, samlet på forskjellige ressurser. Minst 75 kameraer strømmer selv til internett uten noen som helst beskyttelse. Du kan se på dem her.

Hva skjer videre?

Ukraina er et lite land, akkurat som Østerrike, men har de samme problemene som store land innen IT. Vi må utvikle en bedre forståelse av hva som er trygt og hva som er farlig, og produsentene av utstyret må tilby en sikker standardkonfigurasjon for utstyret sitt.

I tillegg samler jeg partnerbedrifter (bli partner), som kan hjelpe deg med å sikre din egen IT-infrastruktur. Jeg planlegger å ta et sikkerhetsoversyn av ukrainske nettsteder som neste steg. Følg med!

Kilde: habr.com