Het is inmiddels een jaar geleden dat 'Bloomberg Businessweek' onthulde dat China met behulp van een kleine chip infiltreerde bij Amerikaanse bedrijven waaronder Apple en Amazon. Op deze manier konden Chinese hackers deze netwerken bespioneren. De aanval van deze Chinese spionnen bereikt bijna 30 Amerikaanse bedrijven.
De heimelijke geïmplanteerde chip ter grootte van een rijstkorrel.
Niet ingewikkeld
Maar het blijkt helemaal niet ingewikkeld te zijn om een kleine moeilijk te detecteren spionagechip in hardware te plaatsen. Het kan al voor slechts 200 dollar (iets meer dan 180 euro) aan apparatuur, blijkt uit een proof-of-concept van beveiligingsonderzoeker 'Monta Elkins'.
Elkins toont zijn proof-of-concept later deze maand bij de 'security-conferentie CS3sthlm', maar deelde zijn bevindingen nu al met Ars Technica.
Elkins wist met zijn methode een Cisco-firewall aan te passen op een manier die de meeste IT-admins waarschijnlijk niet opmerken, maar wel op afstand een grote hoeveelheid controle geeft aan een hacker. Hiervoor had hij een solderingstool van 150 dollar, een microscoop van 40 dollar en een paar chips van 2 dollar per stuk nodig.
De beveiligingsonderzoeker gebruikte specifiek een ATtiny85-chip, die ongeveer 5 vierkante millimeter groot is en van een Digispark Arduino-bord gehaald wordt. De chip is kleiner dan de vingernagel van een pink. Voor de aanval wordt code op de chip geplaatst, waarna de chip op het moederbord van een Cisco ASA 5505-firewall wordt gesoldeerd.
De onderzijde van Cisco ASA 5505 firewall moederbord, met de rode ovale markering de 5 millimeter kwadraat chip die Elkins toegevoegd.
Cyberaanval
De chip is op zo’n manier geprogrammeerd dat het een aanval uitvoert zodra de firewall aangezet wordt in het datacenter van het doelwit. De chip doet zich vervolgens voor als een security-administrator die de configuraties van de firewall benadert, door zijn computer direct met die poort te verbinden.
De volgende stap in de aanval is om de herstelfunctie voor het wachtwoord aan te roepen. De chip maakt een nieuw admin-account aan en krijgt vervolgens toegang tot de instellingen in de firewall.
Zodra de chip toegang krijgt tot de instellingen, kunnen deze aangepast worden om toegang op afstand te bieden aan de hacker. Ook is het mogelijk om de beveiligingsfuncties uit te schakelen en de hacker toegang te geven tot de log van het apparaat van alle verbindingen die het ziet. En er wordt geen alarm verstuurd naar de administrator.
Cisco goedkoopste
Elkins koos specifiek voor de ASA 5505-firewall van Cisco omdat dit de goedkoopste was die hij op eBay kon vinden. De beveiligingsonderzoeker stelt echter dat alle firewalls van Cisco die een wachtwoordherstelfunctie bieden gebruikt kunnen worden voor de aanval.
Cisco heeft inmiddels op de proof-of-concept gereageerd. Het bedrijf zegt in een verklaring de bevindingen van Elkins te onderzoeken. “Als we nieuwe informatie vinden waar klanten van op de hoogte moeten zijn, melden we dit via onze reguliere kanalen.”
Bron: bloomberg, techzine, arstechnica
Reactie plaatsen
Reacties