TCP-32764

NÃO VOU MAIS ATUALIZAR ESTE REPOSITÓRIO MANUALMENTE

Se você quiser adicionar um roteador à lista, faça um pull-request, e lembre-se também de USAR O POC e colar o resultado no seu pull-request. Clientes Telnet e outras soluções podem não ser relevantes (alguns falsos negativos / positivos foram relatados).

Alguns códigos/dados aleatórios sobre o backdoor que encontrei no meu Linksys WAG200G (TCP/32764).

O backdoor pode estar presente em outros hardwares; vou atualizar este readme de acordo. :)

Possível correção :

• se estiver escutando na internet: adicione uma regra de firewall na interface web (@domainzero)
• também parece funcionar no lado da LAN. (issue 35)
• mas, aparentemente, não para todo mundo (issue 57) então use o PoC novamente após adicionar a regra para garantir que o firewall faça seu trabalho.
• instale um firmware de código aberto (por exemplo OpenWRT ou Tomato) isso NÃO é mágico, o OpenWAG200 é vulnerável: http://sourceforge.net/projects/openwag200/files/OpenWAG200/1.4/
• mate o backdoor após cada reinicialização (issue 61 & TCP-32764-First-Aid)
• use este firmware alternativo: amod (obrigado a pidocchio e nremond)
• redirecione o tráfego da porta no firewall do seu roteador para um IP local não utilizado e pronto ([@osisecurite])

Provável origem do backdoor:

• SerComm https://news.ycombinator.com/item?id=6998258 (boa descoberta :) )
• Confirmado por um cabeçalho (socket_header.h) nos fontes GPL da Cisco (obrigado a Andreas Fett!)

Backdoor ESCUTANDO NA INTERNET confirmado em :

• Linksys WAG120N (@p_w999)
• Netgear DG834B V5.01.14 (@domainzero)
• Netgear DGN2000 1.1.1, 1.1.11.0, 1.3.10.0, 1.3.11.0, 1.3.12.0 (issue 44)
• Netgear WPNT834 (issue 79)
• OpenWAG200 talvez um pouco aberto DEMAIS ;) (issue 49)

Backdoor confirmado em:

• Cisco RVS4000 fwv 2.0.3.2 & 1.3.0.5 (issue 57)
• Cisco WAP4410N (issue 11)
• Cisco WRVS4400N
• Cisco WRVS4400N (issue 36)
• Diamond DSL642WLG / SerComm IP806Gx v2 TI (https://news.ycombinator.com/item?id=6998682)
• LevelOne WBR3460B (http://www.securityfocus.com/archive/101/507219/30/0/threaded)
• Linksys RVS4000 Firmware V1.3.3.5 (issue 55)
• Linksys WAG120N (issue 58)
• Linksys WAG160n v1 e v2 (@xxchinasaurxx @saltspork)
• Linksys WAG200G
• Linksys WAG320N (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)
• Linksys WAG54G2 (@_xistence)
• Linksys WAG54GS (@henkka7)
• Linksys WRT350N v2 fw 2.00.19 (issue 39)
• Linksys WRT300N fw 2.00.17 (issue 34)
• Netgear DG834[∅, GB, N, PN, GT] versão < 5 (issue 19 & issue 25 & issue 62 & jd & Burn2 Dev)
• Netgear DGN1000 (não sei se há diferença em relação aos outros modelos N150... issue 27)

Backdoor pode estar presente em:

• todos os dispositivos fabricados pela SerComm (https://news.ycombinator.com/item?id=6998258)
• Linksys WAG160N (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)
• Netgear DG934 probabilidade: probabilidade: 99.99% (http://codeinsecurity.wordpress.com/category/reverse-engineering/)
• Netgear WG602, WGR614 (v3 não funciona, talvez outros...) (http://zaufanatrzeciastrona.pl/post/smieszna-tylna-furtka-w-ruterach-linksysa-i-prawdopodobnie-netgeara/)

Backdoor não funciona em:

• Belkin F5D7230-4 6000 (produto fabricado pela SerComm) (issue 51)
• Belkin F9K1002 v3 (produto fabricado pela SerComm)
• Cisco E2000 fwv 1.0.02 (issue 17)
• Cisco Linksys E4200 V1 fwv 1.0.05 (issue 18)
• Cisco Linksys X2000 (issue 40)
• Cisco EPC3925
• Cisco RV082 v03 fw4.2.2.08 (issue 94)
• Linksys E2500 (@Antoniojojojo)
• Linksys E3000 fwv 1.0.04 (issue 16)
• Linksys E3200 Versão do Firmware: 1.0.04 (Build 1)
• Linksys E4200 Versão do Firmware: 2.0.26 (issue 53)
• Linksys RV082 v02 fw2.0.2.01-tm (issue 94)
• Linksys WAG354G V.2 EU (issue 69)
• Linksys WRT100 fwv 1.0.00 (Issue 71)
• Linksys WRT110 fwv 1.0.07 (issue 70)
• Linksys WRT120N fwv 1.0.07 (@viniciuskmax)
• Linksys WRT160Nv2 (issue 43)
• Linksys WRT160Nv3
• Linksys WRT320N (issue 31)
• Linksys WRT54GL(v1.1) Firmware v4.30.16
• Linksys WRT54GS v1.52.8 build 001 (obrigado a Helmut Tessarek)
• Linksys WRT600N rodando 1.01.36 build 3 (@shanetheclassic & issue 46)

Alguns esclarecimentos: Eu não quis perder meu tempo escrevendo um relatório completo, é um backdoor muito simples que realmente não merece mais do que alguns slides meia-boca. Além disso, meu inglês é bem ruim.

Eu me diverti muito escrevendo / desenhando os slides, todas as informações necessárias estão neles. Se as pessoas não os entendem ou os acham "cheios de meme demais", então - bem - problema deles. :)