Uwaga - ty drukujesz dokument, oni włamują się do sieci

Na ostatniej konferencji Chaos Communications Congress (28C3) pokazano bardzo ciekawe rozwiązanie - jak za pomocą inżynierii odwrotnej włamać się do drukarki Hewlett-Packard, a z niej do komputera.
Drukarki HP bramką dla hakerów Hakerzy pokazali, jak wykorzystać cudzą drukarkę, by włamać się do biurowej sieci Na ostatniej konferencji Chaos Communications Congress (28C3) pokazano bardzo ciekawe rozwiązanie - jak za pomocą inżynierii odwrotnej włamać się do drukarki Hewlett-Packard, a z niej do komputera. Ang Cui, doktorant uniwersytetu Columbia wraz z Jonathanem Vorisem zaprezentował zebranym jak modyfikacja oprogramowania sterującego drukarką (firmware) może stać się furtką do biurowej sieci. Na początku omówił stosowane w urządzeniach HP firmware, pokazał jak rozpakować pliki z nim i przygotować własne oraz wskazał, które modele drukarek są zagrożone. Zaś w 36 minucie 47 sekundzie prezentacji można było zobaczyć, jak Ang Cui przejmuje drukarkę podłączoną do firmowej sieci i ukrytą za firewallem. Niczego nieświadomy pracownik firmy drukuje na niej dokument ze swojego laptopa. W tym momencie przejęta drukarka przesyła jego zawartość przez internet do laptopa hakera i na drukarce Cui pojawia się kopia wydruku. W drugim przykładzie Ang Cui i Jonathan Voris zdalnie przejmują drukarkę, która skanuje dla nich sieć LAN - za jej pomocą dostają się do komputera, zmieniając go w proxy pozwalające dostać się za firewall i przy okazji wyświetlające zawartość tegoż komputera na laptopie hakera (i pozwalając na niegroźny wybryk - ułożenie penisa z ikonek). Jak zainstalowano szkodliwe oprogramowanie w drukarce? Nadpisując jej firmware. Można to zrobić albo podłączając się do niej przez sieć, przy pomocy portu 9100 - to rozwiązanie działa to tylko na drukarkach nie ukrytych za firewallem. Wydawałoby się, że nie ma takich wiele. Jednakże Ang Cui przeskanował internet i znalazł 76,995 drukarek, które są w otwartych sieciach, bez firewalla. Z tego 43 należą do rządów, a z tego 16 do amerykańskiego rządu. W internecie można też znaleźć 9 drukarek nazwanych WYPŁATA - wszystkie należą do uniwersytetów. Drugi sposób to kod dodany do dokumentu, który będzie na niej wydrukowany. Można to zrobić np. z CV, które wyślemy do interesującej nas firmy z nadzieją, że je wydrukują. Ataki nie są możliwe do zablokowania za pomocą procesów potwierdzania autentyczności użytkownika stosowanych w drukarkach. W dodatku atakujący po nadpisaniu oprogramowania drukarki swoim może skutecznie zablokować możliwość zrobienia tego ponownie - jeśli się ofiara się zorientuje, pozostaje jej kupić nową drukarkę, bowiem zmieniony firmware jest na stałe wgrane na mikrochip nią zarządzający. Cui dał HP miesiąc na naprawienie błędów i już przygotowano odpowiednią poprawkę. Specjalista namawia wszystkich, by ją zastosowali - dodaje jednak, że odpowiednio zmodyfikowane oprogramowanie może zgłosić przyjęcie i zainstalowanie poprawki, choć tego nie zrobiło. Całą prezentację można znaleźć na YouTube.

Ang Cui, doktorant uniwersytetu Columbia wraz z Jonathanem Vorisem zaprezentował zebranym jak modyfikacja oprogramowania sterującego drukarką (firmware) może stać się furtką do biurowej sieci.

Na początku omówił stosowane w urządzeniach HP firmware, pokazał jak rozpakować pliki z nim i przygotować własne oraz wskazał, które modele drukarek są zagrożone. Oto ich lista:

Lista drukarek HP narażonych na atak wg Anga Cui i Jonathana Vorisa

Zaś w 36 minucie 47 sekundzie prezentacji można zobaczyć, jak Ang Cui przejmuje drukarkę podłączoną do firmowej sieci i ukrytą za firewallem. Niczego nieświadomy pracownik firmy drukuje na niej dokument ze swojego laptopa. W tym momencie przejęta drukarka przesyła jego zawartość przez internet do laptopa hakera i na drukarce Cui pojawia się kopia wydruku.

W drugim przykładzie Ang Cui i Jonathan Voris zdalnie przejmują drukarkę, która skanuje dla nich sieć LAN - za jej pomocą dostają się do komputera, zmieniając go w proxy pozwalające dostać się za firewall i przy okazji wyświetlające zawartość tegoż komputera na laptopie hakera (i pozwalając na niegroźny wybryk - ułożenie penisa z ikonek).

Jak zainstalowano szkodliwe oprogramowanie w drukarce? Nadpisując jej firmware. Można to zrobić albo podłączając się do niej przez sieć, przy pomocy portu 9100 - to rozwiązanie działa to tylko na drukarkach nie ukrytych za firewallem. Wydawałoby się, że nie ma takich wiele. Jednakże Ang Cui przeskanował internet i znalazł 76,995 drukarek, które są w otwartych sieciach, bez firewalla. Z tego 43 należą do rządów, a z tego 16 do amerykańskiego rządu. W internecie można też znaleźć 9 drukarek nazwanych WYPŁATA - wszystkie należą do uniwersytetów.

Drugi sposób to kod dodany do dokumentu, który będzie na niej wydrukowany. Można to zrobić np. z CV, które wyślemy do interesującej nas firmy z nadzieją, że je wydrukują. Ataki nie są możliwe do zablokowania za pomocą procesów potwierdzania autentyczności użytkownika stosowanych w drukarkach.

W dodatku atakujący po nadpisaniu oprogramowania drukarki swoim, może skutecznie zablokować możliwość zrobienia tego ponownie - jeśli się ofiara się zorientuje, pozostaje jej kupić nową drukarkę, bowiem zmienione firmware jest na stałe wgrane na mikrochip nią zarządzający.

Cui dał HP miesiąc na naprawienie błędów i już przygotowano odpowiednią poprawkę. Specjalista namawia wszystkich, by ją zastosowali - dodaje jednak, że odpowiednio zmodyfikowane oprogramowanie może zgłosić przyjęcie i zainstalowanie poprawki, choć tego nie zrobiło.

Polecamy całą prezentację:

[Boing Boing]