הגילוי התחיל ממשהו שנראה משעמם ביומן ההתחברויות של ארגון אחד: כמה משתמשים שונים נכנסו לחשבונות העבודה שלהם מאותה כתובת IP ביתית. הכתובת נראתה תקינה לגמרי והמיקום הגיאוגרפי התאים למקום שבו האנשים אמורים להיות, אבל אין סיבה ששלושה עובדים יתחברו דרך אותו חיבור בית פרטי. מהחוט הזה הגיעה חברת המחקר GreyNoise לקמפיין שפרסמה ביום חמישי.

מה קרה

התוקף, שהחוקרים מכנים אותו skynox7 לפי כתובת המייל הרשומה בחשבון התשלומים שלו, סורק את האינטרנט אחרי מכשירים שחשופים אליו ישירות ומריץ עליהם קוד דרך חולשות מוכרות וישנות. ברשימה שהחוקרים פרסמו: כונני רשת מדגם ShareCenter של D-Link עם שתי חולשות משנת 2024, ומקליטי וידאו של Ubiquiti שעדיין חשופים ל-Log4Shell, החולשה המפורסמת מדצמבר 2021. גם שרתי SAP נמצאו ברשימה, וכן ניסיונות נגד מקליטי וידאו של Hikvision ו-Dahua. אחרי שהוא נכנס הוא לא מצפין כלום ולא גונב קבצים. הוא מתקין אפליקציה.

האפליקציה הזאת, Pawns.app, היא מוצר חוקי לגמרי. הרעיון המקורי שלה הוא שאתם מתקינים אותה מרצונכם, היא מעבירה דרך החיבור הביתי שלכם תעבורה של אנשים אחרים, והחברה משלמת לכם על זה כמה דולרים בחודש. מי שקונה את השירות בצד השני מקבל גלישה שנראית כאילו היא יוצאת מבית פרטי ולא ממרכז נתונים, וזה בדיוק מה שהוא מחפש. לשוק הזה קוראים residential proxy. התוקף פשוט מתקין את האפליקציה על מכשירים שאינם שלו: החשבון שמקבל את הכסף הוא שלו, רוחב הפס הוא שלכם. בחלק מהמכשירים הוא גם הגדיר התחברות SSH עם מפתח, כדי שתהיה לו דרך חזרה גם אחרי שהחולשה תיסגר.

GreyNoise סופרת לפחות 143 מכשירים נגועים ב-34 מדינות. הדוח לא מפרט מתי הקמפיין התחיל ולא מציין אילו מדינות מובילות ברשימה.

למה זה חשוב לכם

כונן רשת לגיבויים, מקליט של מצלמות אבטחה, נתב ותיק שלא נגעתם בו שנים: אלה בדיוק המכשירים שיושבים בבית או במשרד קטן, מחוברים לאינטרנט כל שעות היממה, ואף אחד לא מעדכן להם את הקושחה. הנזק כאן אינו נזק ישיר. התעבורה שעוברת דרככם היא של אנשים שאתם לא מכירים, ולכן הכתובת הביתית שלכם נקשרת למה שהם עושים, וה-FBI כבר הזהיר בעבר שרשתות תיווך ביתיות משמשות להרצה אוטומטית של סיסמאות שדלפו מול חשבונות של אחרים. בפועל זה מתחיל בדברים קטנים ומעצבנים, אתרים שחוסמים אתכם ו-CAPTCHA בכל פינה, ויכול להסתיים בחשבון שננעל או בפנייה שמגיעה אליכם.

מה עושים?

עברו על המכשירים בבית שמחוברים לאינטרנט ובדקו את גרסת הקושחה שלהם. כונן רשת, מקליט של מצלמות אבטחה והנתב הם המועמדים הראשונים, ובממשק הניהול שלהם יש בדרך כלל כפתור לבדיקת עדכון.

אם היצרן כבר לא מוציא עדכונים לדגם שלכם, הוציאו אותו מהחשיפה לאינטרנט. כיבוי הגישה מרחוק וה-UPnP בנתב מספיק כדי שהמכשיר יישאר זמין לכם בבית ולא לכל סורק בעולם.

החליפו את סיסמת הניהול של המכשירים האלה. הרבה מהם עדיין עומדים עם הסיסמה שהגיעה בקופסה.

אפליקציה שמציעה לכם כסף בשביל "שיתוף האינטרנט שלכם" מוכרת בדיוק את מה שהתוקף כאן מכר. אם לא התקנתם אחת כזאת בכוונה, אין לה מה לחפש על המכשיר.

מכשיר שאף אחד לא הסתכל עליו שנים הוא לא מכשיר שקט. הוא פשוט עובד בשביל מישהו אחר.