Компания Juniper сообщила (http://forums.juniper.net/t5/Security-Incident-Response/Impo... о выявлении в операционной системе ScreenOS, которой комплектуются межсетевые экраны NetScreen (https://en.wikipedia.org/wiki/NetScreen_Technologies), скрытого бэкдора (CVE-2015-7755 (http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10... снабжённого функциями дешифровки соединений VPN и позволяющего удалённо получить доступ администратора на устройстве. Бэкдор выявлен в процессе внутреннего аудита, который показал наличие в составе ScreenOS постороннего кода.
В настоящее время компания проводит расследование и пытается выявить каким образом мог быть внедрён вредоносный код.
Компания Juniper отмечает, что к ней не поступало никаких сообщений о проблемах, которые могли быть связаны с возможном проявлением бэкдора. Скорее всего бэкдор широко не использовался и был оставлен для проведения единичных целевых атак. Проблема проявляется начиная с сентября 2012 года и затрагивает выпуски ScreenOS с 6.2.0r15 по 6.2.0r18 и 6.3.0r12 по 6.3.0r20. Всем пользователям устройств NetScreen рекомендуется срочно установить обновление прошивки (http://www.juniper.net/support/downloads/screenos.html). Исправление доступно в обновлениях 6.3.0r12b, 6.3.0r13b, 6.3.0r14b, 6.3.0r15b, 6.3.0r16b, 6.3.0r17b, 6.3.0r18b и 6.3.0r19b.
Первая функция бэкдора позволяет получить полный доступ к устройству через SSH или telnet. Проникновение атакующих можно определить по характерным записям в логе, сигнализирующим о привилегированном входе в систему подозрительных пользователей. При этом допускается, что грамотные атакующие могут успешно замести следы и удалить из лога записи, сигнализирующие о проникновении в систему.
Пример проявления использования бэкдора в логе:
<font color="#461b7e">
2015-12-17 09:00:00 system warn 00515 Admin user username1 has logged on via SSH from ....
2015-12-17 09:00:00 system warn 00528 SSH: Password authentication successful for admin user 'username1' at host ....
2015-12-17 09:00:00 system warn 00515 Admin user system has logged on via SSH from ....
2015-12-17 09:00:00 system warn 00528 SSH: Password authentication successful for admin user 'username2' at host ....
</font>
Вторая функция бэкдора позволяет атакующему перехватить VPN-трафик и выполнить операции по его дешифровке. Признаки обнаружения перехвата VPN отсутствуют. Интересно, что в 2013 году произошла утечка (http://www.spiegel.de/international/world/catalog-reveals-ns... подготовленного в Агентстве национальной безопасности каталога, перечисляющего возможные способы получения контроля над потребительскими устройствами. В каталоге в том числе было упомянуто создание бэкдора для межсетевых экранов Juniper.
URL: http://arstechnica.com/security/2015/12/unauthorized-code-in.../
Новость: http://www.opennet.ru/opennews/art.shtml?num=43543
