Πώς ένα ψεύτικο υποκατάστημα κατάφερε να αποκτήσει τον έλεγχο του δικτύου: Μια ματιά στην επίθεση SD-WAN της UAT-8616.

SD-WAN με απλά λόγια: Γιατί αυτή η επίθεση έχει σημασία

Στο βίντεο, ο Ed Woodruff από το Low Level TV εξηγεί τι θεωρεί ως την πιο εξελιγμένη επίθεση που έχει καλύψει: μια πραγματική παραβίαση των συστημάτων Cisco SD-WAN από την ομάδα απειλών UAT-8616, γνωστή και ως Salt Typhoon.

Για να θέσει το πλαίσιο, αρχικά εξηγεί το SD-WAN σε γενικές γραμμές:

• Παλαιό μοντέλο: Εταιρείες με πολλά υποκαταστήματα βασίζονταν ιστορικά σε ιδιωτικές μισθωμένες γραμμές (T1/T3) και αργότερα σε MPLS (Multi-Protocol Label Switching) για να συνδέσουν το υποκατάστημα Α με το υποκατάστημα Β μέσω ιδιωτικών, μη κρυπτογραφημένων δικτύων.
• Αναβάθμιση SD-WAN: Τα λογισμικά καθοριζόμενα ευρυζωνικά δίκτυα (Software-Defined Wide Area Networks) επιτρέπουν στα υποκαταστήματα να επικοινωνούν μέσω οποιασδήποτε υποδομής (διαδίκτυο, ιδιωτικές συνδέσεις κ.λπ.), ενώ καθορίζουν κεντρικά τον τρόπο δρομολόγησης της κίνησης. Είναι πιο ευέλικτο και μπορεί να χρησιμοποιήσει κρυπτογράφηση και δρομολόγηση βάσει πολιτικών.

Επειδή το SD-WAN βρίσκεται συχνά στην άκρη της κρίσιμης υποδομής – όπως οι εταιρείες ύδρευσης και ηλεκτρικής ενέργειας – η ασφάλεια των ελεγκτών και των επιπέδων διαχείρισής του είναι ζωτικής σημασίας. Αυτό ακριβώς στόχευσε η UAT-8616.

Ποιος είναι ο UAT-8616 / Salt Typhoon;

Ο Ed βασίζει την ιστορία σε δημόσιες αναφορές από την Cisco Talos σχετικά με μια κινεζική ομάδα απειλών:

• Η UAT-8616, γνωστή και ως Salt Typhoon, έχει παρατηρηθεί να εκμεταλλεύεται ευπάθειες μηδενικής ημέρας σε συσκευές δικτύου και στην άκρη του δικτύου.
• Οι στόχοι τους περιλαμβάνουν κρίσιμους τομείς υποδομής στις ΗΠΑ και παγκοσμίως, ειδικά περιβάλλοντα λειτουργικής τεχνολογίας (OT), όπως:
  • Εταιρείες ύδρευσης
  • Εταιρείες ηλεκτρικής ενέργειας
  • Άλλα βιομηχανικά δίκτυα και δίκτυα υποδομής

Σε αυτή την εκστρατεία, εκμεταλλεύτηκαν αδυναμίες στα συστήματα Cisco Catalyst SD-WAN για να αποκτήσουν βαθιά και διαρκή πρόσβαση στα εταιρικά δίκτυα.

Βήμα 1: Δημιουργία ψεύτικου υποκαταστήματος μέσω SD-WAN Peering

Οι ελεγκτές SD-WAN διαχειρίζονται πολλά υποκαταστήματα. Όταν προστίθεται ένα νέο υποκατάστημα, πρέπει να συνδεθεί με τον ελεγκτή και να αποδείξει ότι ανήκει στον οργανισμό. Συνήθως, αυτό γίνεται μέσω:

• Ανταλλαγής δημόσιων/ιδιωτικών κλειδιών ή
• Προκαθορισμένων συμμετρικών κλειδιών

Η ιδέα είναι ότι ένα νέο υποκατάστημα λέει: «Είμαι μέρος της εταιρείας, δείτε την απόδειξη», και ο ελεγκτής το αποδέχεται στο επίπεδο διαχείρισης/ελέγχου.

Σύμφωνα με την αναφορά της Cisco Talos που αναφέρει ο Ed:

• Η UAT-8616 εκμεταλλεύτηκε μια ευπάθεια στον μηχανισμό SD-WAN peering.
• Οι λεπτομέρειες δεν είναι δημόσιες – δεν υπάρχει απόδειξη της λειτουργίας της, και η ακριβής κρυπτογραφική ή πρωτοκολλική ευπάθεια δεν είναι γνωστή.

Αυτό που είναι γνωστό από την αναφορά της Talos, όπως περιγράφεται στο βίντεο:

• Οι επιτιθέμενοι κατάφεραν να δημιουργήσουν ένα ψεύτικο υποκατάστημα στο δίκτυο SD-WAN.
• Αυτός ο ψεύτικος κόμβος εμφανιζόταν σαν οποιοδήποτε άλλο νόμιμο υποκατάστημα στον χάρτη του δικτύου.
• Από εκεί, μπορούσαν:
  • Να διαφημίσουν διαδρομές IP
  • Να εισάγουν και να λαμβάνουν κίνηση δικτύου
  • Να συνδεθούν στο επίπεδο διαχείρισης/ελέγχου με περιορισμένα δικαιώματα

Έτσι, η πρώτη επιτυχία για τους επιτιθέμενους ήταν να γίνουν αθόρυβα απλώς ένα ακόμη υποκατάστημα – με αρκετή πρόσβαση για να φτάσουν στους ελεγκτές, αλλά όχι ακόμη με δικαιώματα διαχειριστή.

Βήμα 2: Υποβάθμιση υλικολογισμικού για την αναζωογόνηση μιας παλιάς ευπάθειας CVE

Μόλις βρέθηκαν μέσα στο δίκτυο SD-WAN ως συμμετέχοντες με περιορισμένα δικαιώματα, η UAT-8616 προχώρησε στην αύξηση των δικαιωμάτων. Ο Ed επισημαίνει ένα ιδιαίτερα έξυπνο μέρος: εκτέλεσαν μια επίθεση υποβάθμισης υλικολογισμικού.

Γιατί υποβάθμιση;

• Το λογισμικό είναι (θεωρητικά) πιο ασφαλές με την πάροδο του χρόνου, καθώς εντοπίζονται και διορθώνονται ευπάθειες.
• Το παλαιότερο υλικολογισμικό περιέχει συχνά γνωστές, τεκμηριωμένες ευπάθειες – όπως οι CVE από προηγούμενα χρόνια.

Σε αυτή την περίπτωση, ο Ed αναφέρεται σε:

• CVE-2022-20755 – μια ευπάθεια στο CLI (διεπαφή γραμμής εντολών) του λογισμικού Cisco SD-WAN.
  • Προσβάσιμο μόνο σε έναν αυθεντικοποιημένο τοπικό χρήστη.
  • Επιτρέπει την αύξηση των δικαιωμάτων σε διαχειριστή.

Από την ιστορία όπως την αφηγείται:

1. Οι επιτιθέμενοι, έχοντας περιορισμένα δικαιώματα, δημιούργησαν ένα ψεύτικο υποκατάστημα.
2. Υποβάθμισαν το υλικολογισμικό για να εκμεταλλευτούν την ευπάθεια CVE-2022-20755.
3. Αύξησαν τα δικαιώματά τους σε διαχειριστή μέσω της ευπάθειας CLI.

Βήμα 3: Path Traversal στο Vshell για την αποκάλυψη ενός μυστικού IPC και την εκτέλεση εντολών ως root

Με τα αυξημένα δικαιώματα, οι επιτιθέμενοι χρησιμοποίησαν μια ευπάθεια path traversal στο Vshell για να αποκτήσουν πρόσβαση σε ένα μυστικό IPC (Inter-Process Communication). Αυτό τους επέτρεψε να εκτελέσουν εντολές ως root, αποκτώντας πλήρη έλεγχο των ελεγκτών SD-WAN.

Τελικό Συνοπτικό

Σε αυτό το επεισόδιο του Low Level TV, ο Ed Woodruff αναλύει μια εξελιγμένη πραγματική επίθεση στα συστήματα Cisco SD-WAN από την ομάδα απειλών UAT-8616 (Salt Typhoon). Η εκστρατεία συνδύασε:

• Μια ευπάθεια peering/αυθεντικοποίησης που επέτρεψε στους επιτιθέμενους να δημιουργήσουν ένα ψεύτικο υποκατάστημα στο δίκτυο SD-WAN μιας εταιρείας.
• Μια υποβάθμιση υλικολογισμικού για να αναζωογονήσουν την CVE-2022-20755, μια γνωστή ευπάθεια αύξησης δικαιωμάτων CLI.
• Μια ευπάθεια path traversal στο Vshell για να αποκαλύψουν ένα μυστικό IPC και τελικά να εκτελέσουν εντολές ως root.

Το αποτέλεσμα: μια αρχική πρόσβαση με περιορισμένα δικαιώματα ως ψεύτικο υποκατάστημα μετατράπηκε σε πλήρη έλεγχο των ελεγκτών SD-WAN, με πιθανές επιπτώσεις σε κάθε υποκατάστημα του στοχευμένου οργανισμού.

Τα βασικά συμπεράσματα του Ed είναι να διατηρείται το υλικολογισμικό SD-WAN ενημερωμένο, να παρακολουθούνται για απροσδόκητους ομότιμους και ψεύτικα υποκαταστήματα και να αναγνωρίζεται ότι, ενώ οι ασφαλέστερες γλώσσες όπως η Rust βοηθούν στην ασφάλεια της μνήμης, δεν επιλύουν αυτόματα κρυπτογραφικά ή σχεδιαστικά σφάλματα σε επίπεδο λογικής. Η αλυσίδα επιθέσεων που περιγράφει δείχνει πώς τα διαδοχικά τρωτά σημεία – peering, δυνατότητα υποβάθμισης και σφάλματα CLI – μπορούν να συνδυαστούν σε μία από τις πιο εξελιγμένες πρακτικές επιθέσεις που έχουν δει ποτέ σε υποδομές ευρυζωνικών δικτύων.