Обнаружен секретный руткит под Cisco IOS

Себастьян Муниц, эксперт по ИТ-безопасности из компании Core Security Technologies разработал экспериментальное ПО для удаленного администрирования (руткит), работающее в операционной системе Cisco IOS. Напомним, что данная ОС управляет большинством сетевых маршрутизаторов и концентраторов Cisco.

Как правило, руткиты включают в себя разнообразные утилиты для «заметания следов» вторжения в систему, сниферы, сканеры, кейлоггеры, троянские программы, замещающие основные утилиты (в случае неядерного руткита). Руткит позволяет взломщику закрепиться во взломанной системе и скрыть следы своей деятельности путём сокрытия файлов, процессов а также самого присутствия руткита в системе. Сегодня большинство руткитов работают в среде операционных систем Windows, меньшее их количество наблюдается под Linux и Unix. Руткиты под экзотические ОС, такие как IOS, вообще уникальны.

Муниц продемонстрирует свою разработку через неделю - 22 мая на конференции EuSecWest conference в Лондоне. Однако уже сегодня он рассказывает, что созданный руткит работает сразу на нескольких версиях IOS и загружается он на этапе включения устройства, после чего пребывает во flash-памяти маршрутизатора, предоставляя административный доступ к устройству.

Исходный код руткита Муниц пока не планирует публиковать, а все данные передаст в Cisco.

По словам экспертов из аналитической компании IDC,в том случае, если указанный руткит в действительности открывает доступ злоумышленнику к сетевому устройству, отвечающему за передачу данных от тысяч клиентов, то он может быть критически опасен. Ситуация усугубляется тем, что оборудование Cisco фактически является стандартом де-фактом для многих телекоммуникационных компаний и очень широко распространено.

За последний год компания Cisco также неоднократно сообщала об уязвимостях в ISO, однако в большинстве случаев они были связаны либо в неверной конфигурацией по умолчанию, либо в уязвимостями, связанными с неверной обработкой IP-протоколов (IPv4 и IPv6) и его заголовков.