Elia Tufarolo

Vault 7/ CherryBlossom, così la CIA controlla router e access point

Stando agli ultimi documenti rilasciati da Wikileaks, l'agenzia di intelligence americana sarebbe in grado di infettare router e access point, per poi controllare, estrarre e dirottare il traffico di rete effettuato dagli utenti

Vault 7/ CherryBlossom, così la CIA controlla router e access pointRoma - Wikileaks ha recentemente pubblicato un nuovo rilascio della serie Vault 7 dedicata alla CIA: una sessantina di documenti segreti risalenti al periodo compreso tra il 2006 e il 2012 e relativi a CherryBlossom; un progetto realizzato dalla CIA con la collaborazione dell'ente non profit SRI International con lo scopo di monitorare l'attività Internet degli obiettivi dell'agenzia, attraverso l'hacking di decine di modelli di router ed access point destinati all'utilizzo domestico, pubblico e al mondo enterprise.

Nel dettaglio, CherryBlossom è un componente firmware compatibile con decine di modelli di router delle principali marche, tra cui Asus, Belkin, Linksys, D-Link, 3Com, US Robotics. Nella maggior parte dei casi, la CIA è in grado di installare il componente senza la necessità di avere accesso fisico al dispositivo, sfruttando la possibilità di aggiornare il firmware del router da remoto. Nel caso in cui sia stata inibita la possibilità di upgradare il firmware da una connessione WiFi tramite interfaccia Web o terminale, la CIA ha sviluppato appositi Wireless Upgrade Packages (WUPs) che comprendono anche degli exploit in grado di ricavare dal dispositivo la password di amministrazione.

Fa inoltre parte del progetto un software chiamato "Claymore", avente varie funzionalità che vanno dalla scansione dei dispositivi, alla cattura di pacchetti, fino all'aggiornamento forzato del firmware. Infine, nel caso in cui il dispositivo non sia wireless, i documenti descrivono la possibilità di aggiornare il firmware via cavo, attraverso un'inevitabile operazione sul campo, che consisterebbe nell'intercettare il dispositivo a metà strada tra l'acquirente e il venditore.
L'accesso remoto al dispositivo avviene tentando il login con password deboli o predefinite, oppure sfruttando degli exploit ancora non noti, denominati Tomato e Surfside. Una volta ottenuto l'accesso e aggiornato il firmware del router con CherryBlossom, il dispositivo infetto diventa una FlyTrap, gestibile da remoto dagli agenti della CIA per mezzo di un server command-and-control, analogo a quello utilizzato dai virus di tipo trojan. Il server, che porta il nome CherryTree, possiede un'interfaccia web di amministrazione chiamata CherryWeb.

architettura cherryblossom

Nel caso in cui un router diventi una FlyTrap, esso inizia a inviare messaggi, detti beacon, al proprio server di riferimento, riportando il proprio stato e le proprie impostazioni di sicurezza. Instaurato questo collegamento, le principali operazioni effettuabili dagli agenti della CIA sono le seguenti:

  • estrazione di dati, come indirizzi email, nickname utilizzati in servizi di chat, indirizzi MAC, numeri VoIP;

  • copia di tutto o parte del traffico di rete effettuato dagli utenti;

  • reindirizzamento della navigazione Internet, effettuata tramite la tecnica del doppio iframe. In pratica, la risposta HTTP viene sostituita da due iframe: il primo iframe contiene la URL della richiesta originale, il secondo, nascosto, restituisce il contenuto desiderato. In alternativa, il reindirizzamento avviene tramite HTTP redirect. In questo caso la risposta HTTP viene sostituita con un redirect al contenuto desiderato; il browser viene poi ulteriormente reindirizzato alla URL originale in modo da trarre in inganno l'utente;

  • installazione di un proxy su una o tutte le connessioni di rete, al fine di effettuare attacchi di tipo man-in-the-middle;

  • creazione di un tunnel VPN tra la FlyTrap e il server di command-and-control, in modo da poter tentare l'accesso su tutti i client collegati alla FlyTrap, via cavo o WiFi;

  • esecuzione di applicazioni sulla FlyTrap.


interfaccia cherryweb

Inoltre, qualora la trasmissione di beacon tra FlyTrap e CherryTree si interrompa, allo scadere di un determinato suicide timeout CherryBlossom termina la sua esecuzione, senza compromettere il funzionamento normale del router. Tuttavia, seppur non più funzionante, CherryBlossom continua a risiedere all'interno dell'immagine del firmware salvata in memoria, in quanto una procedura di rimozione completa richiederebbe troppo tempo e rischierebbe di compromettere il funzionamento del dispositivo.

Questo rilascio di documenti da parte di Wikileaks, a differenza dei precedenti della serie Vault 7, non comprende binari o codice sorgente: di conseguenza, exploit e strumenti come Tomato, Surfside e Claymore restano - almeno per il momento - oggetti misteriosi.

Elia Tufarolo

Fonte Immagini: 1 2
Notizie collegate
32 Commenti alla Notizia Vault 7/ CherryBlossom, così la CIA controlla router e access point
Ordina
  • Elenco delle aziende coinvolte


    Produttore Nazione

    3com        USA
    linksys     USA
    us robotics USA
    cisco       USA
    asus        Taiwan
    accton     Taiwan
    ambit       USA
    amit        Taiwan
    apple       USA
    Belkin     USA
    Breezecom   Israele
    cameo       ?rivenditore?
    d-link     Taiwan
    gemtek     Taiwan
    globalsun   rimarchiato?
    motorola    USA (1 solo modello prodotto nel 2003 prima che finisse in                                                mano a Google e successivamente a Lenovo)
    orinoco     USA
    senao       Taiwan
    z com       Taiwan

    Non vedo Netgear qualcuno e' piu' informato?
    non+autenticato
  • ...imporre il FOSS de jure. Non solo opensource, ma completo di toolchain di sviluppo, meccanismi di deploy semplici con ferro comune ecc.

    Ps per chi tira in ballo la sicurezza di GNU/Linux: se mettete la porta blindata ma la fabbrica da al ladro una copia delle chiavi non è un problema di "bontà" della porta ma una vulnerabilità che trascende il tipo di porta e riguarda il sistema di fabbricazione e distribuzione di un prodotto. Non sarebbe diverso dall'avere un router con ssh e chiavi del produttore sopra.
    non+autenticato
  • Sempre openwrt o dd-wrt e modem adsl rigorosamente separato(i modem adsl necessitano di blob binari), ok ci saranno bug pure in openwrt ma almeno spero non siano corretti, cosa impossibile con firmware di prodotti non piu' in commercio.
    non+autenticato
  • - Scritto da: Giulia
    > Sempre openwrt o dd-wrt e modem adsl
    > rigorosamente separato(i modem adsl necessitano
    > di blob binari), ok ci saranno bug pure in
    > openwrt ma almeno spero non siano corretti, cosa
    > impossibile con firmware di prodotti non piu' in
    > commercio.

    Perchè se ti bucano il tuo modem adsl non hanno ottenuto lo stesso risultato ? Indovina da dove passano tutte le informazioni del tuo router superblindato.
    mura
    1756
  • - Scritto da: mura
    > Perchè se ti bucano il tuo modem adsl non hanno
    > ottenuto lo stesso risultato ? Indovina da dove
    > passano tutte le informazioni del tuo router
    > superblindato.

    ecco il demente di turno: come lo buchi se non ha un ip address?Perplesso
    non+autenticato
  • Se il modem è buggato ottieni l'IP del router connesso.
    iRoby
    9514
  • Credo che lei/lui si riferisca ad un transparent bridge, ad ogni modo questa configurazione non è necessariamente sicura se la macchina che fa da bridge è creata apposta per esser vulnerabile...
    non+autenticato
  • - Scritto da: campanello
    > - Scritto da: mura
    > > Perchè se ti bucano il tuo modem adsl non hanno
    > > ottenuto lo stesso risultato ? Indovina da dove
    > > passano tutte le informazioni del tuo router
    > > superblindato.
    >
    > ecco il demente di turno: come lo buchi se non ha
    > un ip address?
    >Perplesso

    Ecco un coglione che non ha capito un cazzo di come funzionano le reti tcp, tornatene a studiare dai piccino che fai solo tenerezza.
    mura
    1756
  • Okay, ti hanno rubato l'account.

    Segnalo la cosa.
    non+autenticato
  • la maggior parte dei firmware dd-wrt contiene di fatto con blob binari presi come sono dal produttore o ricompilati a seguito firma di NDA, quindi il tuo senso di sicurezza potrebbe essere mal riposto.

    openwrt è sviluppato ormai da 4 gatti, il grosso dello sviluppo è in LEDE project.
    non+autenticato
  • Se vuoi una parvenza di sicurezza il solo modello sostenibile è considerare la LAN come fosse internet, questo non impedisce il "reclutamento" dei tuoi device embedded come macchine per DDOS, proxy per attività illecite (che poi risultano a tuo nome, ovviamente) ecc ma può per lo meno ridurre l'esposizione dei tuoi desktop/laptop FOSS. Peccato che anche questi abbiano un bel po' di fw sopra...

    Per questo come ho scritto sopra l'unica opzione è l'imposizione di free software e open hw de jure.
    non+autenticato
  • Leggendo sul sito di SRI international che è la società che ha aiutato la CIA a farlo si trova che uno dei progetti è stato ideare il SIRI poi usato da APPLE... chissà cosa avrà dentro SIRI!!!
    Sorride

    https://www.sri.com/work/timeline-innovation/timel...

    Siri, the first virtual personal assistant, arose from decades of SRI research in artificial intelligence (AI). The technology was developed through the SRI-led Cognitive Assistant that Learns and Organizes (CALO) project within DARPA's Personalized Assistant that Learns (PAL) program, the largest-known AI project in U.S. History, and joint work with EPFL, the Swiss institute of technology.

    SRI spun off Siri, Inc. in 2007 to bring the technology to consumers, raising $24 million in two rounds of financing.

    In April 2010, Apple acquired Siri, and in October 2011, Siri was unveiled as an integrated feature of the Apple iPhone 4S.
    non+autenticato
  • e non finisce qui!

    ho scoperto che questi malefici del DARPA sono dappertutto! Indovinate un po' chi ha inventato INTERNET? Sì, proprio loro!

    Adesso STACCOH, prima che sia tro
  • E' impossibile che sia cosi' facile entrare in un router linux!
    E poi che lo faccia la CIA e non gli hackerz russi!

    Andiamo!

    Come gia' ribadito altrove, linux e' sinonimo di sicurezza!

    La qualita' e' sempre free!
  • Questo tuo è un tentativo di dimostrare quanto sei intelligente?
    non+autenticato
  • - Scritto da: Fan innamorato di Bertuccia il macaco
    >
    > Questo tuo è un tentativo di dimostrare quanto
    > sei intelligente?

    http://punto-informatico.it/b.aspx?i=4378444&m=437...

    e fattela una risata Rotola dal ridere
  • A beh, allora sì.
    Per un attimo ho pensato che veramente credevi a quello che hai scritto.
    non+autenticato
  • - Scritto da: Fan innamorato di Bertuccia il macaco
    >
    > A beh, allora sì.
    > Per un attimo ho pensato che veramente credevi a
    > quello che hai scritto.

    ti irriti troppo facilmente, e dire che avevo anche lasciato un indizio.. sul mac di solito abbiamo le accentate, mica come il povero panda che si deve arrabattare con quello che ha A bocca aperta

    ps. ironia della sorte, chi usa il router/ap airport di apple probabilmente era al riparo da questo attacco
    -----------------------------------------------------------
    Modificato dall' autore il 20 giugno 2017 11.04
    -----------------------------------------------------------
  • Perché dovrebbe essere più difficile con un router Apple?
    Il fatto che tu non sai, certamente non vuol dire che non è.
    Io non ti vedo, ma non posso azzardarmi a essere sicuro che non sei in pantaloncini corti.

    Finché non scappano le vacche, normalmente il contadino è sereno e sicuro (c'ha l'aifone, perfino) e le stalle sono aperte. Ma dopo che sono scappate...

    Diciamo che al momento sappiamo solo quello che sappiamo e NON sappiamo ancora quello che scopriremo solo dopo.

    Ragionamento complicato? No dai. Sono sicuro che hai capito.
    non+autenticato
  • - Scritto da: Fan innamorato di Bertuccia il macaco
    >
    > Perché dovrebbe essere più difficile con un
    > router Apple?

    chi ha detto più difficile?

    ho solo notato che in questa lista di router compromessi, quelli di apple non sono elencati

    > Il fatto che tu non sai, certamente non vuol dire
    > che non è.
    > Io non ti vedo, ma non posso azzardarmi a essere
    > sicuro che non sei in pantaloncini
    > corti.
    >
    > Ragionamento complicato? No dai. Sono sicuro che
    > hai capito.

    motivo per cui, se provi a rileggere, noterai che ho scritto "probabilmente"
  • Ma ci sono gli prodotti Apple in altre liste.

    È stato più volte detto che i prodotti Apple sono i più trapanati perché essendo posseduti da persone benestanti o uomini d'affari è più importante violare questi prodotti che il telefono di 100 euro del cesto.

    Anzi paradossalmente se fossi un Trump o Ray Dalio io preferirei un prodotto anonimo e poco diffuso, forse economico e pure insulso, perché avrei più possibilità che non si trovi tra quelli più facilmente violabili.

    Cellulare del cestone 1 : Apple iPhone 0
    iRoby
    9514
  • - Scritto da: iRoby
    >
    > Ma ci sono gli prodotti Apple in altre liste.

    certo, ma qui stavamo parlando dei router linux

    >
    > È stato più volte detto che i prodotti Apple
    > sono i più trapanati

    Fermo. I più trapanati sono ovviamente gli android e i windows, sia perchè non patchati, sia perchè essendo i più diffusi sono quelli che garantiscono maggiori guadagni

    Gli Apple sono forse i più ambiti, nel senso che uno zero-day per iOS costa 1,5 milioni di dollari, mentre uno per android o windows costa massimo 100 mila dollari

    https://www.wired.com/2016/09/top-shelf-iphone-hac.../

    legge della domanda e dell'offerta caro mio, il che significa che il mercato delle vulnerabilità per android e windows è molto più saturo di quello per iOS

    fatti contrapposti alle tue teorie complottare, come al solito

    >
    > Anzi paradossalmente se fossi un Trump o Ray
    > Dalio io preferirei un prodotto anonimo e poco
    > diffuso

    ed è il motivo per cui trump è presiente e tu sei... tu


    > Cellulare del cestone 5 : Apple iPhone 1

    FIXED

    (ne hai già cambiati 5, o erano 6 in 7 anni? non ricordo)
  • Gli iPhone non hanno solo i bug. Hanno anche le backdoor governative.

    Uno Zopo di una aziendina cinese ha solo i buchi e le backdoor delle Google Apps, che però puoi rimuovere.

    Eventuali backdoor nei blob binari dei firmware sono di Mediatek azienda cinese e non USA.
    E la Cina non mi è mai sembrata accanita e pervasiva nello spionaggio come la NSA ed NGA e i loro soci Mossad ed MI6.

    E per carità, sono ben felice di non somigliare a Trump...
    iRoby
    9514
  • - Scritto da: iRoby
    > Gli iPhone non hanno solo i bug. Hanno anche le
    > backdoor
    > governative.
    >
    > Uno Zopo di una aziendina cinese ha solo i buchi
    > e le backdoor delle Google Apps, che però puoi
    > rimuovere.
    >
    > Eventuali backdoor nei blob binari dei firmware
    > sono di Mediatek azienda cinese e non
    > USA.
    > E la Cina non mi è mai sembrata accanita e
    > pervasiva nello spionaggio come la NSA ed NGA e i
    > loro soci Mossad ed MI6.

    DelusoDelusoDeluso

    no sul serio ma questo dove vive?

    giusto il primo esempio a caso, 700 milioni smartphone android

    http://www.kryptowire.com/adups_security_analysis....

    "The collected information was encrypted with multiple layers of encryption and then transmitted over secure web protocols to a server located in Shanghai."


    Bè dai così non ti perdi nulla: OS Android per farti spiare dagli americani, ferro cinese per farti spiare dai cinesi A bocca aperta il meglio dei due mondi, bravo!