Hakowanie systemów VoIP proste jak bułka z masłem

Pewien haker skupiający swoją uwagę na usłudze Voice over IP (VoIP) wyjawił czego takiego dokonał zanim osiadł na dwa lata w federalnym więzieniu w Stanach Zjednoczonych.
Skazany to dwudziestotrzy letni Robert Moore ze Spokane w stanie Waszyngton. Powiedział on, że włamanie do 15 firm telekomunikacyjnych i setek pomniejszych firm na całym świecie było niezwykle łatwe za sprawą wielu dziur w zabezpieczeniach IT. „Było to tak łatwe, że nawet jaskiniowiec by tego dokonał,” dodał czyniąc aluzję względem popularnej w Stanach reklamy telewizyjnej. „Gdy przyglądasz się tak dużej liczbie komputerów, nawet nie zdajesz sobie sprawy jak wiele spośród nich jest niezabezpieczonych.”

Moore powiedział, że 45 do 50 procent usługodawców VoIP, których prześwietlił było niedostatecznie zabezpieczonych, a 70 procent spośród wszystkich firm określił jako podatne na atak. Najsłabszym ogniwem zabezpieczeń było domyślne hasło. „Powiedziałbym, że 85 procent z nich to źle skonfigurowane routery. W większości przypadków są one zabezpieczone domyślnym hasłem,” dodał Moore. „Nawet sobie nie wyobrażacie jak wiele routerów ma hasło ‘admin’ albo ‘Cisco0’. Dzięki temu mogliśmy bez najmniejszego problemu otrzymać do nich dostęp i zrobić z nimi co się nam podobało.”

Kontynuował swoją opowieść, „Naszym celem była także Mera, czyli switch oparty na necie. Zmienia on w zasadzie każdy komputer w switch, dzięki czemu można przez niego wykonywać rozmowy. Tak więc korzystaliśmy z tego. Napisałem także skaner dla urządzeń Mera i próbowaliśmy się logować. Jak się okazało mogliśmy przejść przez hasło prawie za każdym razem. Wówczas do naszej dyspozycji mieliśmy wszystkie możliwe rodzaje informacji, właściwie całą bazę danych.”

Dodał także, że skanował sieć głównie w poszukiwaniu urządzeń Cisco i Quintum. Gdy już na jakieś trafił, sprawdzał jaki to model i następnie szukał dziur w zabezpieczeniach takich jak domyślne hasło lub stare nieuaktualnione oprogramowanie. Jeśli nie udało się trafić hasła ani łatwo go obejść, korzystał z ataków słownikowych i brutalnego odgadywania haseł.