TCP-32764

NON AGGIORNERÒ PIÙ MANUALMENTE QUESTO REPOSITORY

Se vuoi aggiungere un router all'elenco, apri una pull-request: ricordati anche di USARE IL POC e di incollare il risultato nella tua pull-request. I client Telnet e altre soluzioni potrebbero non essere pertinenti (alcuni falsi negativi / positivi segnalati).

Alcuni codici/dati sparsi sulla backdoor che ho trovato nel mio Linksys WAG200G (TCP/32764).

La backdoor potrebbe essere presente in altro hardware, aggiornerò questo readme di conseguenza. :)

Possibile soluzione :

• se è in ascolto su internet: aggiungi una regola del firewall nell'interfaccia web (@domainzero)
• sembra funzionare anche sul lato LAN. (issue 35)
• ma a quanto pare non per tutti (issue 57) quindi usa di nuovo il PoC dopo aver aggiunto la regola per assicurarti che il firewall faccia il suo lavoro.
• installa un firmware open source (ad esempio OpenWRT o Tomato), questo NON è magico, OpenWAG200 è vulnerabile: http://sourceforge.net/projects/openwag200/files/OpenWAG200/1.4/
• uccidi la backdoor dopo ogni riavvio (issue 61 & TCP-32764-First-Aid)
• usa questo firmware alternativo: amod (grazie pidocchio e nremond)
• reindirizza il traffico della porta nel firewall del router verso un IP locale inutilizzato e il gioco è fatto ([@osisecurite])

Probabile origine della backdoor:

• SerComm https://news.ycombinator.com/item?id=6998258 (bella scoperta :) )
• Confermato da un header (socket_header.h) nei sorgenti GPL di cisco (grazie Andreas Fett!)

Backdoor in ascolto su internet confermata in :

• Linksys WAG120N (@p_w999)
• Netgear DG834B V5.01.14 (@domainzero)
• Netgear DGN2000 1.1.1, 1.1.11.0, 1.3.10.0, 1.3.11.0, 1.3.12.0 (issue 44)
• Netgear WPNT834 (issue 79)
• OpenWAG200 forse un po' TROPPO aperto ;) (issue 49)

Backdoor confermata in:

• Cisco RVS4000 fwv 2.0.3.2 & 1.3.0.5 (issue 57)
• Cisco WAP4410N (issue 11)
• Cisco WRVS4400N
• Cisco WRVS4400N (issue 36)
• Diamond DSL642WLG / SerComm IP806Gx v2 TI (https://news.ycombinator.com/item?id=6998682)
• LevelOne WBR3460B (http://www.securityfocus.com/archive/101/507219/30/0/threaded)
• Linksys RVS4000 Firmware V1.3.3.5 (issue 55)
• Linksys WAG120N (issue 58)
• Linksys WAG160n v1 e v2 (@xxchinasaurxx @saltspork)
• Linksys WAG200G
• Linksys WAG320N (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)
• Linksys WAG54G2 (@_xistence)
• Linksys WAG54GS (@henkka7)
• Linksys WRT350N v2 fw 2.00.19 (issue 39)
• Linksys WRT300N fw 2.00.17 (issue 34)
• Netgear DG834[∅, GB, N, PN, GT] versione < 5 (issue 19 & issue 25 & issue 62 & jd & Burn2 Dev)
• Netgear DGN1000 (non so se c'è una differenza rispetto agli altri modelli N150... issue 27)

La backdoor potrebbe essere presente in:

• tutti i dispositivi prodotti da SerComm (https://news.ycombinator.com/item?id=6998258)
• Linksys WAG160N (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)
• Netgear DG934 probabilità: probabilità: 99.99% (http://codeinsecurity.wordpress.com/category/reverse-engineering/)
• Netgear WG602, WGR614 (la v3 non funziona, forse altre...) (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)

Backdoor non funzionante in:

• Belkin F5D7230-4 6000 (prodotto SerComm) (issue 51)
• Belkin F9K1002 v3 (prodotto SerComm)
• Cisco E2000 fwv 1.0.02 (issue 17)
• Cisco Linksys E4200 V1 fwv 1.0.05 (issue 18)
• Cisco Linksys X2000 (issue 40)
• Cisco EPC3925
• Cisco RV082 v03 fw4.2.2.08 (issue 94)
• Linksys E2500 (@Antoniojojojo)
• Linksys E3000 fwv 1.0.04 (issue 16)
• Linksys E3200 Versione firmware: 1.0.04 (Build 1)
• Linksys E4200 Versione firmware: 2.0.26 (issue 53)
• Linksys RV082 v02 fw2.0.2.01-tm (issue 94)
• Linksys WAG354G V.2 EU (issue 69)
• Linksys WRT100 fwv 1.0.00 (Issue 71)
• Linksys WRT110 fwv 1.0.07 (issue 70)
• Linksys WRT120N fwv 1.0.07 (@viniciuskmax)
• Linksys WRT160Nv2 (issue 43)
• Linksys WRT160Nv3
• Linksys WRT320N (issue 31)
• Linksys WRT54GL(v1.1) Firmware v4.30.16
• Linksys WRT54GS v1.52.8 build 001 (grazie Helmut Tessarek)
• Linksys WRT600N con 1.01.36 build 3 (@shanetheclassic & issue 46)
• Linksys WRT610N V1 fwv 1.00.03 B15 ()

Alcuni chiarimenti: Non ho voluto sprecare il mio tempo a scrivere un rapporto completo: è una backdoor molto semplice che davvero non merita più di qualche diapositiva scadente. Inoltre, il mio inglese è piuttosto scarso.

Mi sono divertito molto a scrivere / disegnare le diapositive, tutte le informazioni necessarie sono lì dentro. Se le persone non le capiscono o le trovano "troppo piene di meme" allora - beh - peggio per loro. :)