Onderzoeker Michael Coppola demonstreerde op de Defcon hackerconferentie een tool, de Router Post-Exploitation Framework, waarmee hij via reverse engineering een backdoor in routerfirmware creëerde. Via de tool is dat proces geautomatiseerd voor diverse kleine routers van onder meer Netgear, Linksys, TRENDnet, Belkin en D-Link.

Niet alle routers zijn te modificeren en met sommige typen moet meer getest worden, schrijft IDG News Service. Maar het aantal routers dat via de tool geautomatiseerd kan worden voorzien van een achterdeur wordt in de toekomst uitgebreid, zegt Coppola. Het gaat nu om de typen Netgear WGR614, WNDR3700 en WNR1000; Linksys WRT120N; TRENDnet TEW-651BR en TEW-652BRP; D-Link DIR-601 en Belkin F5D7230-4.

Flashen van firmware

De tool kan diverse modificaties in de firmware aanbrengen, zoals een root bind shell, een netwerksniffer of een botnetclient. De firmware kan worden geflasht via de web-interface die de meeste routers hebben en vanwaar de instellingen kunnen worden aangepast. Een aanvaller kan die admintool op diverse manieren misbruiken.

Zo is het mogelijk op het internet te scannen naar routers die hun admin-interface via het internet benaderbaar maken. Na vaststelling van type router kan het default wachtwoord worden geprobeerd, via brute force het wachtwoord worden achterhaald of andere kwetsbaarheden in de authenticatie worden misbruikt. Die kwetsbaarheden zijn op diverse websites die zich daarin specialiseren terug te vinden.

Duizenden open interfaces

“Ik heb poortscans gedaan en flinke blokken met duizenden IP-adressen van open routers gevonden die open staan naar het internet en default wachtwoorden gebruiken", zegt Coppola. Hij zegt erbij dat als de admin-interface niet open staat naar het internet, altijd andere mogelijkheden zijn om ze van afstand te flashen met aangepaste firmware.