Gebruikers van Tomato Routers worden aangespoord om wachtwoorden te versterken, of ze kunnen worden overtreden door hackers

Bij bepaalde cybercriminele activiteiten draait alles om schaal. Als u een opmerkelijke DDoS-aanval wilt starten, grote hoeveelheden spam wilt verzenden of een portemonnee vol bitcoins wilt genereren met behulp van een cryptojacking-campagne, hebt u bijvoorbeeld veel hardware nodig. Dit is waar botnets binnenkomen.

Een botnet is een netwerk van servers, computers en IoT-apparaten waartoe hackers toegang hebben en die ze niet weten van hun eigenaars. Gecompromitteerde eindpunten bieden hackers niet alleen de mogelijkheid om op massale schaal aanvallen uit te voeren, maar ze bieden hen ook een manier om hun sporen af te leggen. Daarom worden botnets soms zelfs gebruikt in geavanceerde spyware-campagnes. Standaard kan een botnet nooit groot genoeg zijn, en oplichters proberen voortdurend een manier te vinden om hun netwerken van gehackte apparaten uit te breiden. Onlangs hebben onderzoekers van Unit 42 van Palo Alto Networks ons bijvoorbeeld verteld hoe de operators achter het Muhstik-botnet proberen nieuwe bots aan het netwerk toe te voegen.

Het Muhstik-botnet gaat achter wifi-routers aan die bovenop de Tomato-firmware draaien

Het Muhstik-botnet bestaat al sinds maart 2018 en de onderzoekers van Palo Alto Networks hebben er meer dan enkele ontmoetingen mee gehad. Het staat bekend om het compromitteren van Linux- en WebLogic-servers met WordPress- en Drupal-installaties en in mei 2018 probeerde het naar verluidt misbruik te maken van een beveiligingsprobleem in GPON-thuisrouters. De Command and Control-server (C&C) bestuurt de bots via een IRC-kanaal en tot nu toe gebruikt het ze voornamelijk om DDoS-aanvallen te starten en cryptocurrency te delven.

Begin december merkten de onderzoekers van Palo Alto Networks op dat de hackers het botnet hebben bijgewerkt. Er is nu een extra module ontworpen voor het targeten van wifi-routers die op de Tomato-firmware draaien.

Tomato is een open-source firmware voor thuisrouters die krachtiger en gebruiksvriendelijker zou moeten zijn dan zijn concurrenten. Voor het eerst uitgebracht in 2006, is het volledig gratis beschikbaar voor zowel leveranciers als eindgebruikers. De experts van Palo Alto Networks gebruikten de Shodan-zoekmachine om te bepalen dat er momenteel ongeveer 4.600 Tomaten-gebaseerde routers op het internet zijn blootgesteld. Dit lijkt geen bijzonder groot aantal, maar de operators van Muhstik hebben duidelijk besloten dat de extra moeite het waard is. Maar wat kunnen we doen om ze te stoppen?

Standaardreferenties maken gebruikers kwetsbaar

Het rapport van Palo Alto Networks eindigt met een waarschuwing dat "eindgebruikers voorzichtig moeten zijn bij het installeren van open source-firmware." Dit is absoluut waar. Door de gemeenschap ontwikkelde projecten ontvangen niet altijd op tijd beveiligings- en betrouwbaarheidsupdates en ze kunnen soms enorme gapende gaten openen die hackers gemakkelijk kunnen exploiteren. Inderdaad, de originele versie van de Tomato-firmware heeft al bijna tien jaar geen stabiele release, wat voor zich spreekt. In dit specifieke geval zijn echter de open-source aard en de leeftijd van Tomato niet de belangrijkste problemen.

Gebruikers hebben direct toegang tot hun Tomato-routers met "root" of "admin" als gebruikersnaam. Het standaardwachtwoord is in beide gevallen "admin". Dit zijn de inloggegevens die het Muhstik-botnet gebruikt om een Tomato-router te vinden die hij tegenkomt.

Verschillende fabrikanten bieden verschillende grafische gebruikersinterfaces, dus er is geen enkele stapsgewijze handleiding voor het wijzigen van het standaardwachtwoord op alle op Tomaten gebaseerde routers. Ze bieden allemaal een mogelijkheid om het te doen, en de Muhstik-exploitanten jagen op gebruikers die de moeite niet hebben genomen om het te gebruiken. De geschiedenis leert ons dat ze zich ook niet bepaald aan rietjes vastklampen.

Standaardreferenties zijn gemakkelijk te verkrijgen en brute-forcing vereist geen groot aantal inlogpogingen, wat betekent dat de kansen om argwaan te wekken klein zijn. Daarom zijn hackers dol op deze specifieke methode voor het infecteren van apparaten van mensen.

Gebruikers moeten leren dat de gadgets die ze verbinden met internet nooit mogen worden beschermd door de gebruikersnamen en wachtwoorden die op de verpakking of de onderkant van het apparaat zijn afgedrukt. Hoe eerder ze het doen, hoe beter.