Por Dan Goodin
Em uma revelação que mostra como a Agência de Segurança Nacional foi capaz de espiar sistematicamente muitos dos clientes da Cisco Systems por quase uma década, pesquisadores descobriram um ataque que extrai remotamente chaves de decodificação da linha PIX de firewalls da empresa, agora obsoletos.
A descoberta é significativa porque o código de ataque, codinome BenignCertain, trabalhou em versões do PIX da Cisco lançados em 2002 e apoiados até 2009. Mesmo depois que a Cisco parou de fornecer correções de bugs ao PIX em julho de 2009, a empresa continuou oferecendo serviço limitado e suporte para o produto por mais quatro anos. A menos que os clientes do PIX tomassem precauções especiais, praticamente todos eles eram vulneráveis a ataques que sorrateiramente bisbilhotaram seu tráfego VPN. Além de permitir que os atacantes espionassem o tráfego de VPN criptografado, a extração de chave também torna possível ao atacante ganhar acesso total a uma rede vulnerável, colocando-o como um usuário remoto.
As capacidades do BenignCertain foram provisoriamente reveladas neste post de quinta-feira, e eles foram posteriormente confirmados como funcionais em instalações PIX em ambiente real por três pesquisadores distintos. Antes da confirmação vir, o Ars perguntou à Cisco para investigar o exploit. A empresa se recusou, citando a sua política para os produtos em fim de vida. A exploração ajuda a explicar documentos secretos da NSA vazados pelo contratante Edward Snowden e citado em um artigo de 2014 publicado na revista Der Spiegel. O artigo informou que a NSA tinha, então, a capacidade de decifrar mais de mil conexões VPN por hora.
“Isso mostra que a NSA teve a capacidade de extrair remotamente chaves confidenciais de VPNs da Cisco por mais de uma década”, Mustafa Al-Bassam, um pesquisador de segurança no processamento de pagamentos firme Comércio Seguro, disse à Ars. “Isso explica como eles foram capazes de decifrar milhares de conexões VPN por minuto, conforme mostrado em documentos publicados anteriormente pelo Der Spiegel”.
A revelação também é preocupante, pois dados retornados pelo motor de busca Shodan indicam que mais de 15.000 redes ao redor do mundo ainda usam o PIX, com a Federação Russa, os EUA e a Austrália sendo os três principais países afetados. A liberação no último fim de semana do BenignCertain e dezenas de outras ferramentas de ataque ligadas à NSA significa que ainda há relativamente poucos hackers qualificados para realizar o mesmo ataque avançado. Análise do binário mostra que o BenignCertain tem como alvo versões do PIX 5.3(9) até 6.3(4). Os pesquisadores, no entanto, foram capazes de fazer a técnica de extração de chaves na versão 6.3(5) também.
O BenignCertain explora uma vulnerabilidade na implementação do Cisco Internet Key Exchange, um protocolo que utiliza certificados digitais para estabelecer uma conexão segura entre duas partes. O ataque envia pacotes maliciosamente manipulados para um dispositivo PIX vulnerável. Os pacotes fazem com que o dispositivo vulnerável retorne uma parte de memória. Uma ferramenta analisadora incluída no exploit então é capaz de extrair dados-chave e outra configuração pré-compartilhada do VPN. De acordo com um dos pesquisadores que ajudaram a confirmar o exploit, ele trabalha remotamente na interface exterior do PIX. Isto significa que qualquer pessoa na Internet pode usá-lo. Não há pré-requisitos necessários para fazer o trabalho de ataque. O pesquisador forneceu esta imagem da captura de pacotes para mostrar o resultado final do ataque.
Curiosamente, o Adaptive Security Appliance da Cisco, o firewall que substituiu o PIX, continha uma vulnerabilidade crítica semelhante no Internet Key Exchange que foi arrumado há três meses. Além do mais, durante o tempo em que a vulnerabilidade do PIX estava ativa, firewalls de quase uma dúzia de outros vendedores ficaram similarmente vulneráveis. Enquanto o BenignCertain trabalhou apenas contra o PIX, é possível que exploits ainda não revelados foram desenvolvidos para outros produtos.
O exploit de extração de chave poderia ser ainda mais poderoso quando combinado com outras ferramentas de ataque na posse do Equation Group, uma equipe de hackers de elite, ligados à NSA. Outra ferramenta chamada FalseMorel aparece para extrair a password que é necessária para ganhar o controle administrativo sobre o próprio firewall PIX. A ferramenta permite que atacantes usando o BenignCertain saibam se um determinado firewall é vulnerável ao FalseMorel. BenignCertain, FalseMorel, e mais de uma dúzia de outras ferramentas foram misteriosamente publicada na semana passada por um grupo previamente desconhecido, que se intitula ShadowBrokers.
“Apesar da existência de (exploits) zero-days, essas ferramentas parecem ser predominantemente pós-exploit”, escreveu o especialista em segurança de Rob Graham, CEO da Errata Security, em um post publicado quinta-feira à tarde. “Eles não são os tipos de ferramentas que você usa para invadir uma rede, mas os tipos de ferramentas que você usar depois de invadi-la.”
Os comentários de Graham vieram antes das capacidades do BenignCertain serem revelados. Agora que elas foram documentadas, é claro, pelo menos, algumas das ferramentas deram, e possivelmente ainda darão aos atacantes uma posição inicial em redes segmentadas.
TRADUÇÃO E ADAPTAÇÃO: Junker
FONTE:Arstechnica