Камеры наблюдения РЖД просматривались без всякого взлома

25.01.2021

Некий LMonoceros, исследователь в информационной сфере, недавно сделал на «Хабре» пост, в котором рассказал, как он проник в сеть РЖД, причём сделал он это практически случайно.

«В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: “Есть ли жизнь за прокси”?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!»

Исследователь отметил, что масштаб найденной проблемы оценил далеко не сразу. Чтобы связаться с владельцем сети и предупредить его о произошедшем, он изучил исходящий VPN. В результате он обнаружил более 20 тысяч устройств по всей России, в числе которых были IP-телефоны, сетевое оборудование, FreePBX и тому подобное.

Немалая доля подключенных устройств имела старую версию прошивки и пароль по умолчанию, либо вовсе не имело защиты. Наряду с ними были и защищённые модемы с актуальной прошивкой, но далеко не все. Таким образом, исследователь, по своим скромным подсчётам, получил доступ примерно к 10 тысячам камер видеонаблюдения производства фирм Beward, Axis, Panasonic и так далее. С них можно было наблюдать за вокзалами и станциями снаружи и внутри, попадались даже камеры, следящие за порядком в офисах РЖД. Исследователь пишет:

«Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик. То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже»

Исследователь также нашёл признаки того, что в этой бывает кто-то еще. Он пишет, что на роутерах, не относящихся к РЖД, он уже встречал подобные линки. РЖД, по его словам, уже связались с ним и совместно закрыли уязвимости, которые он обнаружил.

Информационной службе ТАСС представители РЖД сообщили, что ведут расследование, и что «утечки персональных данных клиентов холдинга не произошло, угрозы безопасности движения нет».