Прошло больше года с тех пор, как издание Bloomberg опубликовало статью, рассказывающую об аппаратных «закладках», которые якобы были обнаружены на серверных платах Supermicro и позволили китайским хакерам скомпрометировать их. Так как это оборудование используют крупные технические компании, включая Apple и Amazon, разразился грандиозный скандал. Представители Amazon и Apple поспешили категорически опровергнуть заявления Bloomberg, и даже АНБ сообщило, что это была «ложная тревога». В итоге вся эта история удостоилась сразу двух наград Pwnie: как «самый перехайпленный баг» и «самый крупный epic fail».
И хотя сообщения Bloomberg так и не нашли никаких подтверждений, возможность создания подобных «закладок», конечно, нельзя полностью сбрасывать со счетов. Так, специалист компании FoxGuard Монта Элкинс (Monta Elkins) решил продемонстрировать, что в этом нет ничего сложного, и он представит результаты своей работы на конференции CS3sthlm, в конце текущего месяца. Пока же исследователь продемонстрировал результаты своих трудов изданию Wired.
Для внедрения «жучка» в брандмауэр Cisco Элкинсу понадобились: паяльная станция за 150 долларов, микроскоп за 40 долларов, нескольких микросхем за 2 доллара, которые он заказал в онлайне.
«Нам кажется, что все это какая-то магия, но на самом деле это не так уж сложно», — рассказывает Элкинс. — Продемонстрировав людям железо, я хочу сделать все это более реалистичным. Это не магия. Это не невозможно. Я мог бы сделать это в своем подвале. И есть много людей умнее меня, которые могут сделать такое практически из ничего».
Для создания своей «закладки» Элкинс использовал миниатюрный чип ATtiny85, который он нашел на Digispark Arduino за 2 доллара. Записав на чип собственный код, Элкинс снял его с платы Digispark и припаял к материнской плате брандмауэра Cisco ASA 5505. Для размещения чипа он использовал незаметное место, которое не требовало дополнительных контактов и позволяло получить доступ к COM-порту.
По приведенной ниже картинке можно понять, насколько сложно будет заметить такой «лишний» чип на плате, даже при относительно небольших размерах ASA 5505 (6х7 дюймов). Элкинс предполагает, что он мог бы использовать чип еще меньшего размера, но выбрал ATtiny85, чтобы упростить ту часть эксперимента, что была связана с программированием.
Элкинс запрограммировал свой «жучок» на атаку сразу после того, как брандмауэр будет размещен и включен в дата-центре цели. Чип выдает себя за администратора, который обращается к настройкам брандмауэра, подключая компьютер напрямую к порту. Затем чип запускает функцию восстановления пароля брандмауэра, создает новую учетную запись администратора и получает доступ к настройкам. После этого возможно изменить настройки брандмауэра и предоставить злоумышленникам удаленный доступ к устройству.
Исследователь объясняет, что он использовал Cisco ASA 5505 в своем эксперименте, потому как брандмауэр оказался самым дешевым на eBay. Но атака должна сработать против любого межсетевого экрана Cisco, который предлагает восстановление пароля подобным образом. Специалисты Cisco заверили, что уже изучают исследование Элкинса и, если понадобится, примут необходимые меры.
В сущности, исследование Элкинса продолжает другой, более ранний эксперимент, проведенный независимым ИБ-экспертом — Треммелом Хадсоном (Trammell Hudson). В прошлом году, в рамках конференции Chaos Computer Conference, тот продемонстрировал PoC платы Supermicro, на которой были воссозданы «закладки» китайских хакеров, как те были описаны в статье Bloomberg. То есть на плату был установлен чип с доступом к BMC (baseboard management controller).
При этом оба специалиста подчеркивают, что они не пытались подтвердить историю Bloomberg о широко распространенных атаках на цепочку поставок и даже не утверждают, что подобные атаки часто встречаются в реальности. Также исследователи отмечают, что традиционные софтверные атаки в большинстве случаев сработают ничуть не хуже, предоставив хакерам такой же доступ. Однако Элкинс и Хадсон доказывают, что аппаратный шпионаж с помощью атак на цепочку поставок — это реальность, и реализовать подобное куда легче, чем многие думают.
«Я хочу, чтобы люди признали, что подобные импланты — это не плод чьего-то воображения. Они относительно просты, — говорит Элкинс. — И если мне под силу сделать такое, значит, кто-то с сотнями миллионов бюджета занимается подобным уже некоторое время».
