וושינגטון מזהירה: האקרים רוסים מכוונים לראוטרים ביתיים

הממשל האמריקאי פרסם אזהרה חריגה למשתמשים ביתיים ולעסקים קטנים, ובה קריאה לאבטח נתבים וציוד רשת המחובר לאינטרנט, על רקע קמפיין מתמשך של האקרים המזוהים עם המדינה הרוסית. לפי הסוכנות האמריקאית לאבטחת סייבר ותשתיות, CISA, אותם גורמים מנצלים נתבים שהוגדרו בצורה לקויה או שלא עודכנו, ומשתלטים עליהם כדי להשתמש בהם כתחנות ביניים להסתרת פעילות זדונית.

מה טוענות הרשויות בארה"ב

בהודעה שפרסמה ביום שני, מסרה CISA כי שחקני סייבר המשויכים ל"מרכז 16" של שירות הביטחון הפדרלי הרוסי, ה-FSB, ממשיכים לנצל מכשירי רשת פגיעים ברחבי העולם. לדבריה, אותם גורמים פועלים באופן אופורטוניסטי ומשתלטים גם על רשתות במגזרי תשתית קריטיים. ברשויות האמריקאיות עוקבים אחר הקבוצות הללו תחת כמה שמות, ובהם Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard ו-Static Tundra.

האזהרה לא פורסמה על ידי ארה"ב לבדה. אליה הצטרפו גם ממשלות מאוסטרליה, דנמרק, ניו זילנד ובריטניה, צעד שמדגיש כי מדובר בדפוס פעולה שמדאיג כמה מדינות במקביל, ולא רק בזירה אמריקאית פנימית. מבחינת הרשויות, הבעיה איננה רק עצם הפריצה לנתב הביתי, אלא השימוש שנעשה בו אחר כך: המכשיר הופך לחלק מרשת פרוקסי רחבה, שמאפשרת לתוקפים לטשטש את מקור התקיפה האמיתי ולהקשות על איתורם.

למה דווקא נתבים ביתיים

נתב ביתי או משרד קטן הוא יעד נוח יחסית לתוקפים. במקרים רבים מדובר במכשיר שפועל שנים בלי עדכוני קושחה, עם סיסמת ברירת מחדל, או עם שירותי ניהול מרחוק שנותרו פתוחים ללא צורך. עבור התוקף, זהו משאב זול, זמין ושקט: המכשיר בדרך כלל אינו מנוטר כמו שרת ארגוני, והבעלים שלו כלל אינו יודע שנפרץ.

לפי ההסבר של הרשויות, כאשר אלפי נתבים כאלה מצורפים לרשת אחת, הם יוצרים תשתית אפקטיבית להסתרת תקיפות נגד ארגונים רגישים במגזר הציבורי והפרטי. כך אפשר להעביר תעבורת תקיפה דרך כתובות IP תמימות לכאורה, לעקוף חלק ממנגנוני החסימה, ולהקשות על חברות אבטחה וחוקרים להבין מי עומד מאחורי הפעולה.

מאבק מתמשך בין מדינות ובין חברות טכנולוגיה

במערב עוקבים כבר שנים אחר מאמצים של רוסיה ושל סין להשתלט על נתבים ומכשירי רשת דומים. לעתים, לפי הרשויות, מדובר אף במאבקי שליטה ממושכים על אותם מכשירים עצמם, כאשר קבוצות שונות מנסות להשתלט על ציוד שכבר נפרץ קודם לכן. הממשל האמריקאי נקט בעבר צעדים ישירים כדי לנקות מכשירים נגועים, ובמקביל חברות טכנולוגיה ובהן גוגל פעלו לשבש רשתות בוטים גדולות שהתבססו על נתבים פרוצים.

אלא שלפי ההערכה, מדובר במרוץ מתמשך. גם כאשר רשת אחת מנוטרלת, המפעילים מקימים במהירות חלופה חדשה באמצעות מכשירים נוספים שנשארו חשופים. במילים אחרות, הסרת האיום ממכשירים מסוימים אינה פותרת את הבעיה כל עוד בעלי הציוד אינם משנים סיסמאות, מעדכנים גרסאות וסוגרים שירותים מיותרים.

מה בעלי נתבים צריכים לעשות עכשיו

המסר המעשי של הרשויות פשוט: לבדוק אם הנתב עודכן לגרסת הקושחה האחרונה, להחליף מיד סיסמאות ברירת מחדל, לבטל גישה מרחוק אם אין בה צורך, ולהעדיף ציוד שממשיך לקבל עדכוני אבטחה מהיצרן. במשרדים קטנים כדאי גם לוודא שהנתב אינו ישן מדי ושאינו מפעיל שירותים שאינם נדרשים לעבודה השוטפת.

מבחינת משתמשים פרטיים, האיום אולי נשמע רחוק, אך ההשלכות ישירות: גם מי שאינו יעד בעצמו עלול להפוך לחלק מתשתית תקיפה מבלי לדעת. זו בדיוק הסיבה שהאזהרה הנוכחית מתמקדת לא רק בארגונים גדולים, אלא גם באלפי בתים ועסקים קטנים שמחזיקים את שכבת הקצה של האינטרנט העולמי.