Tuto hamletovskou otázkou se náš tým kolem Omnie zabýval několik měsíců. Turris Omnia byl představen jako domácí router ve slušivé plastové krabičce a celkem dlouho jsme si nepřipouštěli jinou variantu. 5GHz WiFi mělo být řešeno třemi venkovními anténami a „starší“ WiFi na frekvenci 2.4GHz měla být tak nějak z povinnosti vysílána dvěma interními anténkami spíše pro zpětnou kompatibilitu se staršími zařízeními.

Není to tak dlouho, co jsme na základě sledování útočníků v našich telnetových honeypotech odhalili zajímavý botnet složený z domácích routerů značky ASUS. Poslední dva týdny se nám do SSH honeypotu provozovaného na routerech Turris zase nejvíce pokouší přihlašovat botnet, jehož IP adresy mají podle Shodanu často jednu společnou vlastnost: na portu 80 odpovídají s cookie AIROS_SESSIONID. Tato cookie ukazuje na AirOS bežící na Ubiquiti airRouter. Podle dat ze Shodanu lze touto cookie identifikovat asi 20 % útočících IP adres z celkových cca 6 500 jako AirOS. Mnoho adres ale bývá z dynamických poolů, o kterých Shodan ještě neví.

Ve dvou posledních příspěvcích o projektu Turris jsme si popsali, jak nám „minipot“ pro Telnet na routerech pomohl odhalit botnet složený z velké části z domácích routerů od firmy ASUS (1, 2). V tomto článku se podíváme na to, jak mohli být tyto routery napadeny útočníkem.

Před třemi týdny jsme na tomto blogu publikovali předběžné výsledky analýzy dat z honeypotu pro protokol Telnet, který jsme měli připravený v testovacím provozu. Dnes se podíváme, jak se situace změnila ve chvíli, kdy jsme tento nástroj nasadili na všechny routery Turris.

V rámci projektu Turris připravujeme v nejbližší době několik rozšíření, která umožní uživateli aktivně se podílet na detekci síťových útoků. První z novinek, kterou si blíže popíšeme v některém z budoucích článků, tvoří SSH honeypot, který umožňuje útočníka polapit do virtuálního prostředí a sledovat jeho akce a úmysly. Druhá novinka je o něco méně ambiciózní, ale zato jednodušší, elegantní a přesto velice užitečná. Jedná se o koncept, kterému říkáme interně „minipot“, tedy jakýsi miniaturní honeypot. Ten narozdíl od běžného honeypotu, který vpustí dovnitř každého s libovolným heslem a poté sleduje, co dělá, naopak dovnitř nikoho nepustí (ve skutečnosti ani není kam), ale pouze sleduje, jaká jména a hesla bude útočník zkoušet.