Lost in the Noise

Vanwege het toenemend aantal aanvallen op routers, heeft fabrikant D-Link als extra beveiligingslaag een CAPTCHA toegevoegd. Dit moet voorkomen dat malware de instellingen van de router wijzigt. Vorig jaar werd een Trojaans paard ontdekt dat de DNS-instellingen van routers wijzigde, zodat al het verkeer van het slachtoffer via servers in de Oekraïne liep. Het kon via een lijst van standaard gebruikersnamen en wachtwoorden toegang tot het apparaat krijgen. Veel gebruikers blijken de standaard inloggegevens nooit te wijzigen.

D-Link is de eerste en vooralsnog enige fabrikant die via CAPTCHAs probeert te detecteren of een aanpassing het werk van een mens of malware is. “Hiermee bieden we een extra beveiligingslaag aan onze klanten”, aldus CTO AJ Wang. Om van de CAPTCHA-beveiliging te profiteren moeten klanten wel hun router upgraden.

De onderzoekers van SourceSec hadden slechts een week nodig om een fout in de CAPTCHA implementatie te vinden. Die maakt het mogelijk voor een aanvaller om met alleen gebruikerstoegang de WiFi WPA passphrase van de router te achterhalen, zonder daarbij de CAPTCHA op te lossen.

Via een combinatie van JavaScript en anti-DNS pinning hoeft er niet eens malware op het achterliggende systeem actief te zijn, maar volstaat het bezoeken van een kwaadaardige website. De CAPTCHA-beveiliging was juist bedoeld om te voorkomen dat malware op systemen de instellingen van de router kan wijzigen. Op deze manier kunnen slachtoffers naar nep-banksites worden geleid, ook al is de malware van hun systeem verwijderd.

Onveiliger
“Dit betekent dat als je nieuwe firmware voor je router installeert, je een sterke WPA passphrase gebruikt en je Administrator login wijzigt, een aanvaller nog steeds de Wi-Fi Protected Setup kan inschakelen en toegang tot je draadloos netwerk kan krijgen alleen door een interne client een website te laten bekijken”, aldus de onderzoekers. Die beschrijven in deze advisory de aanval, die zowel met als zonder malware werkt.