Belgacom i Cisco czyli świat po Snowdenie

[bart]

Trafiłem na kolejne analizy włamania do belgijskiego ISP - Belgacom. Na tej stronie:

https://firstlook.org/theintercept/2014 ... side-story

Możemy przeczytać coś takiego:

"The most serious discovery was that the large routers that form the very core of Belgacom’s international carrier networks, made by the American company Cisco, were also found to have been compromised and infected. The routers are one of the most closely guarded parts of the company’s infrastructure, because they handle large flows of sensitive private communications transiting through its networks."

Co Waszym zdaniem mogło zostać w routerach Cisco tego operatora 'infected'? Zmodyfikowali oprogramowanie routera czy tylko jego konfigurację?
Jak wiemy, dzięki Snowdenowi, GCHQ/NSA ma niekończący się apetyt na wszelkiego rodzaju dane przesyłane przez sieć. Wszystko co przechodzi przez transatlantyckie światłowody jest skrzętnie zbierane przez GCHQ/NSA. No ale w tym przypadku z racji pozycji i znaczenia Belgii, chodziło chyba bardziej o ruch, który zawija się wewnątrz Europy. Jeżeli zakładamy, że chcieli mieć zrzut całego ruchu in/out Belgacom to jak to mogli wykombinować? Chyba nie modyfikowali IOS abym im 'pakował ruch zipem' i wysyłał na maila Jedyne co mi przychodzi do głowy to kombinowanie przy BGP i umiejętne sterowanie ruchem. A jakie jest Wasze zdanie?

Było nie było jeżeli okazało by się że IOS może być modyfikowany, przy większym, mniejszym lub zerowym udziale Cisco to trochę słabo to wygląda.

[lbromirs]

Nie może być modyfikowany bez spowodowania wyjątku watchdoga i reloadu. FX mówił o tym bardzo dawno temu. Swoją drogą, z tego co wiem (oczywiście, mogę się mylić) pudełka które tam stoją są zarówno oparte o IOS i IOS-XR. Exploitowania żywego IOS-XRa jeszcze nikt nie pokazał, co skłania mnie do podejrzeń, które są na końcu.

Temat jest badany, pewnie jeszcze wiele na ten temat się informacji pojawi. Na razie jest dużo spekulacji a obwinianie dużego producenta dobrze działa PRowo na popularność historii nawet jeśli potem okaże się, że było "trochę" inaczej.

Na razie oficjalnie nie komentujemy, patrząc wewnętrznie co się u nas dzieje, na pewno oficjalnie skomentujemy.

Śmiesznie byłoby, gdyby na koniec tak jak w przypadku dwóch innych przypadków okazało się, że operator po prostu używał funkcjonalności Lawful Intercept. Wcale bym się nie zdziwił.

[bart]

Jeżeli miałby zadanie aby przechwytywać cały ruch (nawet do jakiejś grupy IP albo nawet pojedynczego) to raczej próbowałbym modyfikować konfigurację urządzeń sieciowych niż próbować modyfikować ich soft tudzież w skrajnym przypadku hardware. No ale zobaczymy jak się sprawa rozwinie i co z tego wyniknie.