HiSilicon: Βρέθηκε backdoor σε chips που χρησιμοποιούνται σε εκατομμύρια συσκευές
ΚΟΥΡΗΤΗΣ:HiSilicon (Chinese: 海思; pinyin: Hǎisī) is a Chinese fabless semiconductor company based in Shenzhen, Guangdong and fully owned by Huawei. (https://en.wikipedia.org/wiki/HiSilicon)
ΟΥΤΕ ΠΟΥ ΘΥΜΑΜΑΙ ΠΟΣΕΣ ΦΟΡΕΣ Η ΜΑΚΑΡΙΤΙΣΣΑ ΠΛΕΟΝ ΟΜΑΣ "ΙΣΧΥΣ" ΕΙΧΕ ΔΗΜΟΣΙΩΣ ΠΡΟΕΙΔΟΠΟΙΗΣΕΙ ΓΙΑ ΠΕΙΡΑΓΜΕΝΑ ΑΠΟ ΤΟΥΣ ΣΙΝΕΣ ΗΛΕΚΤΡΟΝΙΚΑ ΚΑΙ ΖΗΤΟΥΣΕ ΤΗΝ ΔΙΑΚΟΠΗ ΤΩΝ ΣΥΝΕΡΓΑΣΙΩΝ ΟΛΩΝ ΤΩΝ ΕΥΑΙΣΘΗΤΩΝ ΤΟΜΕΩΝ ΜΕ ΤΙΣ ΣΙΝΙΚΕΣ ΕΤΑΙΡΕΙΕΣ ΠΟΥ ΤΑ ΠΑΡΗΓΑΓΑΝ.
- https://isxys.blogspot.com/2019/02/no-fly-zone.html
- https://isxys.blogspot.com/2018/10/apple-amazon-30.html
- https://isxys.blogspot.com/2015/06/huawei.html
- https://isxys.blogspot.com/2012/07/northrop-grumman.html
- https://isxys.blogspot.com/2012/07/blog-post_3557.html
- https://isxys.blogspot.com/2012/02/chinese-hackers-suspected-in-long-term.html
- https://isxys.blogspot.com/2011/06/blog-post_9532.html
- https://isxys.blogspot.com/2011/08/blog-post_23.html
ΟΜΟΙΩΣ ΖΗΤΟΥΣΕ ΚΑΙ ΤΗΝ ΑΠΟΜΑΚΡΥΝΣΗ ΟΛΩΝ ΤΩΝ ΣΙΝΙΚΗΣ ΚΑΤΑΓΩΓΗΣ ΑΤΟΜΩΝ ΑΠΟ ΘΕΣΕΙΣ ΕΥΘΥΝΗΣ. Η ΚΟΡΕΑ , ΟΛΗ Η ΧΕΡΣΟΝΗΣΟΣ (ΒΟΡΕΙΑ ΚΑΙ ΝΟΤΙΑ) ΕΛΕΓΧΕΤΑΙ ΑΠΟΛΥΤΩΣ ΑΠΟ ΤΟΥΣ ΣΙΝΕΣ. ΚΑΚΩΣ ΠΟΛΛΟΙ ΑΚΟΜΑ ΝΟΜΙΖΟΥΝ ΠΩΣ ΕΧΟΥΝ ΝΑ ΚΑΝΟΥΝ ΜΕ ΑΛΛΟΥΣ.
- https://isxys.blogspot.com/2011/08/blog-post_6261.html
- https://isxys.blogspot.com/2011/11/otorola.html
- https://isxys.blogspot.com/2012/05/blog-post_9412.html
- https://isxys.blogspot.com/2013/05/south-korean-intel-officers-caught.html
- https://isxys.blogspot.com/2017/10/f-35-p-8.html
- https://isxys.blogspot.com/2019/01/dow-chemical-cargill.html
ΤΑ ΠΑΡΑΠΑΝΩ ΕΙΝΑΙ ΕΛΑΧΙΣΤΟΤΑΤΟ ΔΕΙΓΜΑ ΣΧΕΤΙΚΩΝ ΠΟΥ ΒΡΗΚΑ ΕΥΚΟΛΑ. ΔΕΚΑΔΕΣ ΑΝ ΟΧΙ ΕΚΑΤΟΝΤΑΔΕΣ ΑΛΛΕΣ ΣΧΕΤΙΚΕΣ ΑΝΑΡΤΗΣΕΙΣ ... ΕΕΕ ΚΑΙ ; ΣΧΕΔΟΝ 10 ΕΤΗ ΜΕΤΑ ΔΕΝ ΕΧΕΙ ΑΛΛΑΞΕΙ ΤΠΤ... ΟΥΤΕ ΚΑΙ ΘΑ ΑΛΛΑΞΕΙ. ΟΙ ΗΠΑ ΚΑΙ ΓΕΝΙΚΑ Η ΔΥΣΗ ΕΧΕΙ ΑΠΟΦΑΣΙΣΕΙ ΕΙΤΕ ΝΑ ΠΑΡΑΔΟΘΕΙ ΕΙΤΕ ΝΑ ΑΥΤΟΧΕΙΡΙΑΣΤΕΙ ΓΙΑ ΝΑ ΑΦΗΣΕΙ ΧΩΡΟ ΣΤΟΥΣ ΣΙΝΕΣ.
Υ.Γ: ΚΑΠΟΙΟΣ ΑΠΟ ΔΟΜΗ ΑΣΦΑΛΕΙΑΣ ΣΤΙΣ ΗΠΑ ΠΡΙΝ ΜΕΡΙΚΑ ΕΤΗ ΜΑΣ ΕΙΧΕ ΖΗΤΗΣΕΙ ΑΠΟΔΕΙΞΕΙΣ... ΤΟΥ ΕΞΗΓΗΣΑΜΕ ΠΩΣ ΕΜΕΙΣ ΔΕΝ ΕΙΜΑΣΤΕ ΔΙΩΚΤΙΚΗ ΑΡΧΗ, ΕΧΟΥΜΕ ΙΣΧΥΡΕΣ ΕΝΔΕΙΞΕΙΣ ΚΑΙ ΠΛΗΡΟΦΟΡΙΕΣ ΤΟΣΕΣ (ΟΓΚΟ ΚΑΙ ΠΟΙΟΤΗΤΑ) ΠΟΥ ΚΑΤΑΔΕΙΚΝΥΟΥΝ ΤΟ ΓΕΓΟΝΟΣ. ΑΥΤΟΣ ΦΑΓΩΘΗΚΕ ΓΙΑ ΑΠΟΔΕΙΞΕΙΣ. ΔΕΝ ΦΑΓΩΘΗΚΕ ΝΑ ΒΑΛΕΙ ΤΟΥΣ ΥΦΙΣΤΑΜΕΝΟΥΣ ΤΟΥ ΝΑ ΔΙΕΡΕΥΝΗΣΟΥΝ ΤΟ ΘΕΜΑ ΩΣΤΕ ΜΕ ΤΙΣ ΠΡΟΣΒΑΣΕΙΣ ΠΟΥ ΕΧΟΥΝ ΝΑ ΒΡΟΥΝ ΑΠΟΔΕΙΞΕΙΣ. ΤΟ ΕΧΩ ΞΑΝΑΓΡΑΨΕΙ. ΑΠΟΔΕΙΞΕΙΣ ΧΡΕΙΑΖΟΝΤΑΙ ΟΣΟΙ ΠΡΟΣΠΑΘΟΥΝ ΝΑ ΧΡΗΣΙΜΟΠΟΙΗΣΟΥΝ ΤΟ ΔΙΚΑΣΤΙΚΟ ΣΥΣΤΗΜΑ ΩΣΤΕ ΝΑ ΠΕΤΥΧΟΥΝ ΚΑΤΑΔΙΚΗ ΤΟΥ-ΤΩΝ ΕΝΟΧΩΝ ΟΠΟΙΟΥΔΗΠΟΤΕ ΑΔΙΚΗΜΑΤΟΣ. ΟΛΟΙ ΕΜΕΙΣ ΟΙ ΥΠΟΛΟΙΠΟΙ ΔΕΝ ΧΡΕΙΑΖΟΜΑΣΤΕ ΑΠΟΔΕΙΞΕΙΣ. ΧΡΕΙΑΖΟΜΑΣΤΕ ΕΝΔΕΙΞΕΙΣ, ΠΛΗΡΟΦΟΡΙΕΣ ΚΑΙ ΙΚΑΝΟΤΗΤΑ ΑΝΑΛΥΤΙΚΗΣ ΚΑΙ ΣΥΝΔΥΑΣΤΙΚΗΣ ΛΟΓΙΚΗΣ ΚΑΙ ΣΚΕΨΗΣ.
(ΟΠΩΣ ΑΡΕΣΚΟΝΤΑΙ ΠΟΛΛΟΙ ΣΤΙΣ ΗΠΑ ΝΑ ΛΕΝΕ..."ΑΝ ΕΧΕΙ ΦΤΕΡΩΜΑ, ΠΛΑΤΥ ΡΑΜΦΟΣ, ΠΕΡΠΑΤΑ ΣΑΝ ΠΑΠΙΑ ΚΑΙ ΚΑΝΕΙ ΚΟΥΑΚ-ΚΟΥΑΚ ΤΟΤΕ ΕΙΝΑΙ ΠΑΠΙΑ". ΑΚΟΜΗ ΚΑΙ ΑΝ ΔΕΝ ΕΧΕΙ "ΧΑΡΤΙΑ" ΓΙΑ ΝΑ ΤΟ... ΑΠΟΔΕΙΞΕΙ)
Ο Ρώσος ερευνητής ασφαλείας Vladislav Yarmak αποκάλυψε ότι υπάρχει ένας backdoor μηχανισμός στα chips της HiSilicon, τα οποία ενσωματώνονται σε εκατομμύρια έξυπνες συσκευές σε όλο τον κόσμο (π.χ. κάμερες ασφαλείας, DVR, NVR κλπ.). Ακόμα δεν έχει κυκλοφορήσει κάποια διόρθωση, καθώς ο Yarmak δεν ενημέρωσε τη HiSilicon για το ζήτημα ασφαλείας. Όπως είπε ο ίδιος, δεν έχει εμπιστοσύνη στις ικανότητες της εταιρείας για σωστή διόρθωση του backdoor.
Ο Yarmak δημοσίευσε μια έκθεση στο Habr, που περιέχει μια λεπτομερή ανάλυση του backdoor.
Σύμφωνα με τον ειδικό, πρόκειται για έναν συνδυασμό τεσσάρων παλιών σφαλμάτων / backdoors που είχαν ανακαλυφθεί τον Μάρτιο του 2013, τον Μάρτιο του 2017, τον Ιούλιο του 2017 και τον Σεπτέμβριο του 2017. “Προφανώς, όλα αυτά τα χρόνια η HiSilicon ήταν απρόθυμη ή ανίκανη να παράσχει επαρκείς διορθώσεις ασφαλείας για το ίδιο backdoor, το οποίο, παρεμπιπτόντως, εφαρμόστηκε εσκεμμένα”, δήλωσε ο Yarmak.
Σύμφωνα με τον ερευνητή ασφαλείας, ένας επιτιθέμενος μπορεί να εκμεταλλευτεί το backdoor στέλνοντας μια σειρά εντολών, μέσω της θύρας TCP 9530, σε συσκευές που χρησιμοποιούν HiSilicon chips. Οι εντολές αυτές θα ενεργοποιήσουν την υπηρεσία Telnet στην ευάλωτη συσκευή. Ο Yarmak λέει ότι μόλις εγκατασταθεί η υπηρεσία Telnet, ο επιτιθέμενος μπορεί να συνδεθεί με ένα από τα παρακάτω Telnet credentials και να αποκτήσει πρόσβαση σε ένα root account, αποκτώντας έτσι τον πλήρη έλεγχο της ευάλωτης συσκευής.
Σύμφωνα με τον ερευνητή ασφαλείας, ένας επιτιθέμενος μπορεί να εκμεταλλευτεί το backdoor στέλνοντας μια σειρά εντολών, μέσω της θύρας TCP 9530, σε συσκευές που χρησιμοποιούν HiSilicon chips. Οι εντολές αυτές θα ενεργοποιήσουν την υπηρεσία Telnet στην ευάλωτη συσκευή. Ο Yarmak λέει ότι μόλις εγκατασταθεί η υπηρεσία Telnet, ο επιτιθέμενος μπορεί να συνδεθεί με ένα από τα παρακάτω Telnet credentials και να αποκτήσει πρόσβαση σε ένα root account, αποκτώντας έτσι τον πλήρη έλεγχο της ευάλωτης συσκευής.
Αυτά τα Telnet logins είχαν βρεθεί τα προηγούμενα χρόνια ως «hardcoded» στο firmware των chip της HiSilicon, αλλά σύμφωνα με τον Yarmak η εταιρεία δεν έκανε κάτι γι’ αυτά.
Όπως είπαμε παραπάνω, ο Yarmak δεν εμπιστεύεται την HiSilicon, γι’ αυτό δεν την ενημέρωσε για το ζήτημα ασφαλείας. Έτσι, δεν υπάρχει προς το παρόν κάποιο patch. Ωστόσο, ο ερευνητής δημιούργησε proof-of-concept (PoC) κώδικα που μπορεί να χρησιμοποιηθεί για να ελέγξει αν μια «έξυπνη» συσκευή λειτουργεί με το σύστημα HiSilicon on-chip (SoC) και εάν το SoC είναι ευάλωτο στον τύπο επίθεσης που αναφέρθηκε παραπάνω.
Εάν μια συσκευή είναι ευάλωτη, θα πρέπει να γίνει αντικατάσταση εξοπλισμού.
“Λαμβάνοντας υπόψη προηγούμενες ψεύτικες διορθώσεις για το συγκεκριμένο backdoor, δεν είναι συνετό να περιμένουμε διορθώσεις ασφαλείας για firmware από την εταιρεία”, δήλωσε ο Yarmak. “Οι κάτοχοι τέτοιων συσκευών θα πρέπει να εξετάσουν το ενδεχόμενο εύρεσης εναλλακτικών λύσεων”. Σε περίπτωση που οι κάτοχοι των ευάλωτων συσκευών δεν έχουν την οικονομική δυνατότητα για να αλλάξουν εξοπλισμό, πρέπει να “περιορίσουν αυστηρά την πρόσβαση δικτύου σε αυτές τις συσκευές, ώστε να μπαίνουν μόνο αξιόπιστοι χρήστες”, ειδικά στις θύρες 23 / tcp, 9530 / tcp, 9527 / tcp (που μπορούν να χρησιμοποιηθούν στις επιθέσεις).
Ο κώδικας proof-of-concept είναι διαθέσιμος στο GitHub. Οι οδηγίες υπάρχουν στο post του ερευνητή στο Habr.
https://www.secnews.gr/210436/hisilicon-chips-backdoor/
https://isxys.blogspot.com/2020/02/hisilicon-backdoor-chips.html#more
Όπως είπαμε παραπάνω, ο Yarmak δεν εμπιστεύεται την HiSilicon, γι’ αυτό δεν την ενημέρωσε για το ζήτημα ασφαλείας. Έτσι, δεν υπάρχει προς το παρόν κάποιο patch. Ωστόσο, ο ερευνητής δημιούργησε proof-of-concept (PoC) κώδικα που μπορεί να χρησιμοποιηθεί για να ελέγξει αν μια «έξυπνη» συσκευή λειτουργεί με το σύστημα HiSilicon on-chip (SoC) και εάν το SoC είναι ευάλωτο στον τύπο επίθεσης που αναφέρθηκε παραπάνω.
Εάν μια συσκευή είναι ευάλωτη, θα πρέπει να γίνει αντικατάσταση εξοπλισμού.
“Λαμβάνοντας υπόψη προηγούμενες ψεύτικες διορθώσεις για το συγκεκριμένο backdoor, δεν είναι συνετό να περιμένουμε διορθώσεις ασφαλείας για firmware από την εταιρεία”, δήλωσε ο Yarmak. “Οι κάτοχοι τέτοιων συσκευών θα πρέπει να εξετάσουν το ενδεχόμενο εύρεσης εναλλακτικών λύσεων”. Σε περίπτωση που οι κάτοχοι των ευάλωτων συσκευών δεν έχουν την οικονομική δυνατότητα για να αλλάξουν εξοπλισμό, πρέπει να “περιορίσουν αυστηρά την πρόσβαση δικτύου σε αυτές τις συσκευές, ώστε να μπαίνουν μόνο αξιόπιστοι χρήστες”, ειδικά στις θύρες 23 / tcp, 9530 / tcp, 9527 / tcp (που μπορούν να χρησιμοποιηθούν στις επιθέσεις).
Ο κώδικας proof-of-concept είναι διαθέσιμος στο GitHub. Οι οδηγίες υπάρχουν στο post του ερευνητή στο Habr.
https://www.secnews.gr/210436/hisilicon-chips-backdoor/
https://isxys.blogspot.com/2020/02/hisilicon-backdoor-chips.html#more
Landmark panel on Chinese spying fears, attack attribution, and the cyber skills arena