美英联手警告俄国骇客正对路由器等网络基础设备展开全面攻击

美国国土安全部底下的US-CERT发布技术警报（Technical Alert，TA），由美国国土安全部（DHS）、联邦调查局（FBI）和英国国家网络安全中心（NCSC）联手分析的结果显示，由俄罗斯政府资助的骇客正对路由器、交换器、防火墙以及入侵检测系统等网络基础设备发动攻击，目标主要针对政府、私人机构、网络设备供应商以及ISP。

US-CERT表示，俄国政府的这些行动将严重影响美国安全以及经济，而该技术警报的目的便是对网络设备供应商、ISP、公私部门组织以及家庭办公室发出警告，以减少恶意活动带来的损失。

这份技术警报包含了有关俄罗斯政府所资助之骇客，对受害者所采取的策略、技术以及程序细节。联邦调查局相信，这些骇客正使用老旧受损的路由器，进行中间人攻击，以支援间谍行动、偷取智慧财产或持续对受害者进行网监控，并进一步对未来的攻击行动奠定基础。

研究发现，从2015年来，这些骇客就已经开始对全球的企业级以及家庭办公室级的路由器与交换器进行恶意活动。现在他们瞄准的对象，包含使用老旧协定以及缺乏安全性的装置，有漏洞的装置、违法获取的认证，甚至是固件或操作系统漏洞等都是骇客可能攻击的途径，这些骇客还能修改或是封锁路由器的网络流量。

US-CERT提到，骇客根本不需要对这些装置安装恶意程式，就能达成一定程度的危害，因为不少装置本身未通过认证、使用未加密协定，抑或是制造商已经停止补丁支援，这些都会被骇客转用作为攻击的利器。

而之所以骇客要针对网络基础设备攻击，US-CERT认为，是因为大部组织及客户都需要走访这些装置，控制了路由器等同于控制了交通流量，而且网络设备的安全防护往往遭到忽略，在上面不会有完整的防护措施。

这波骇客攻击通常会有六个阶段，侦察、武器化、交付、开发、安装最后指挥和控制。一开始骇客会进行大规模的扫描，对这些装置对外开放的连接埠进行识别，找出易受攻击的目标，尤其是连接埠161与162的SNMP，还有思科SMI常用连接埠4786，被发现容易受骇客利用，并反过来泄漏配置文件等敏感资讯。

US-CERT特别提到，SMI是思科开发的无用户认证管理协定，骇客利用智慧安装开发工具（SIET），并滥用SMI协定来下载网络装置的配置文件、修改配置，甚至植入恶意程式及修改操作系统，而由于这些网络装置的可写入性，将有助于恶意软件在目标区网的扩展。

US-CERT对所有可能的攻击目标提供了不同的防御建议，但对一般大众而言，US-CERT强调，不要使用未加密的管理协议、不要对互联网开放网络设备的管理界面、不要使用未加密的协定，最后立即更换预设密码并使用强密码政策。

不过媒体BBC为此也做了平衡报导，BBC指出美国其实也在俄国境内进行类似的骇客行为。