ケーブルモデムのバックドアの中にバックドアが仕掛けられていた

ARRIS製のケーブルモデムにバックドアが見つかり、さらにその中にバックドアが存在することが、組み込み機器やウェブアプリ関連のブログのw00tsecの調査により判明しました。

w00tsec: ARRIS Cable Modem has a Backdoor in the Backdoor
https://w00tsec.blogspot.jp/2015/11/arris-cable-modem-has-backdoor-in.html

セキュリティカンファレンスに招待されたw00tsecを運営しているBernardo Rodrigues氏は、いまだケーブルモデムのハッキングが主流であることから「ケーブルモデムのセキュリティ」について話すことにしたとのこと。Rodrigues氏によると、ケーブルモデムのファームウェアやソフトウェアのアップグレードはインターネットサービスプロバイダ(ISP)にコントロールされており、ユーザー自身で管理できないことからセキュリティの確保が難しいという問題があります。

Rodrigues氏がカンファレンスのスピーチに向け、ARRISのケーブルモデムについて調査したところ、「TG862A」「TG862G」「DG860A」などの多くの機器に影響する非公開のバックドアが発見されたとのこと。IoTのための検索エンジン「Shodan Search」によると、このバックドアは60万以上の外部ホストに影響を及ぼしているとのことで、、Rodrigues氏は「ARRISが存在に気付いているのか、修正のため動いているかも不明である」と述べています。

さらにARRISのSOHO(ISDN)ケーブルモデムのバックドアを分析していたところ、バックドアの認証チェックの項目内にさらにバックドアを示すコードが見つかったとのこと。Rodrigues氏は複数のバックドアの存在によってARRISのケーブルモデムから遠隔でフルアクセスが得られる可能性や、ケーブルモデムのシリアルナンバーを元にアクセスキーが生成される危険性について警告しています。

Rodrigues氏は「Twitter検索で『arris dns』というワードを調べるだけでも、ケーブルモデムの脆弱性によるハッキングが行われていることがわかり、危険性をメディアで報道してISPの対策を促す必要がある」と述べています。

なお、ARRISのケーブルモデムのバックドアの存在を示したムービーも公開されています。

ARRIS Cable Modem - Serial Backdoor - YouTube