超9000臺VNC服務(wù)器無密碼暴露，中國最多
近日，Cyble的安全研究人員發(fā)現(xiàn)至少9000臺公開暴露的VNC(虛擬網(wǎng)絡(luò)計算)服務(wù)器，無需身份驗證即可訪問和使用，從而使攻擊者可以輕松訪問內(nèi)部網(wǎng)絡(luò)。
VNC(虛擬網(wǎng)絡(luò)計算)是一個獨立于平臺的系統(tǒng)，通過RFB(遠程幀緩沖協(xié)議)提供對遠程計算機(桌面)的訪問和控制，在設(shè)備間傳輸屏幕圖像、鼠標(biāo)移動及鍵盤事件，可幫助用戶訪問需要監(jiān)控和調(diào)整的系統(tǒng)。
VNC暴露嚴(yán)重威脅工控系統(tǒng)安全
簡單來說，VNC系統(tǒng)可以幫助一臺設(shè)備遠程(跨平臺)訪問另一臺設(shè)備的屏幕。由于跨平臺實現(xiàn)以及許可證開源，現(xiàn)在VNC已經(jīng)是最常用的一種遠程管理工具，廣泛應(yīng)用于工業(yè)自動化系統(tǒng)中，大多數(shù)工控系統(tǒng)廠商都會在產(chǎn)品中基于VNC來實現(xiàn)遠程管理工具。根據(jù)卡巴斯基的統(tǒng)計，約有三分之一的工控系統(tǒng)電腦中安裝了包括VNC在內(nèi)的各種遠程管理工具(RAT)。
如果這些VNC端點沒有使用密碼適當(dāng)?shù)乇Ｗo(通常是由于疏忽、錯誤或僅僅為了方便)，可被未經(jīng)授權(quán)的用戶，包括惡意黑客的攻擊入口點。
有些暴露VNC的工控系統(tǒng)，例如關(guān)鍵的水(庫/處理)、能源、交通設(shè)施，如果訪問權(quán)被濫用可對整個社區(qū)甚至城市產(chǎn)生災(zāi)難性影響。
中國暴露最多
Cyble的漏洞獵手在沒有密碼的情況下掃描了Web以查找面向互聯(lián)網(wǎng)暴露的VNC實例，結(jié)果發(fā)現(xiàn)了9000多臺可訪問的服務(wù)器。大多數(shù)暴露的實例位于中國和瑞典，而美國、西班牙和巴西緊隨其后，擁有大量未受保護的VNC。
更糟糕的是，Cybcle發(fā)現(xiàn)其中一些暴露的VNC實例用于工業(yè)控制系統(tǒng)，它們本不應(yīng)該暴露在互聯(lián)網(wǎng)上。
“在調(diào)查過程中，研究人員通過分析VNC連接暴露的人機界面(HMI)系統(tǒng)、監(jiān)控和數(shù)據(jù)采集系統(tǒng)(SCADA)、工作站等鎖定具體工控系統(tǒng)設(shè)備?！盋yble在報告中指出。
在一個案例中，暴露的VNC訪問指向了一個制造單元中遠程SCADA系統(tǒng)上的泵控制HMI(下圖)。
為了了解VNC服務(wù)器被黑客針對的頻率，Cyble使用其網(wǎng)絡(luò)情報工具來監(jiān)控對VNC的默認(rèn)端口5900端口的攻擊，結(jié)果發(fā)現(xiàn)一個月內(nèi)有超過600萬個請求。
大多數(shù)訪問VNC服務(wù)器的嘗試來自荷蘭、俄羅斯和美國。
VNC訪問在黑客論壇“熱銷”
黑客論壇對通過暴露或破解的VNC訪問關(guān)鍵網(wǎng)絡(luò)的需求很高(下圖)，因為這種訪問在某些情況下可用于更深層次的網(wǎng)絡(luò)滲透。
“攻擊者可能會濫用VNC作為登錄用戶執(zhí)行惡意操作，例如打開文檔、下載文件和運行任意命令?！盋yble研究人員指出。
攻擊者可以使用VNC遠程控制和監(jiān)視系統(tǒng)以收集數(shù)據(jù)和信息，從而轉(zhuǎn)向網(wǎng)絡(luò)中的其他系統(tǒng)。
有時候安全愛好者則會提示暴露的用戶提供有關(guān)如何自行掃描和定位這些暴露實例。
Bleeping Computer看到的一個暗網(wǎng)論壇帖子包含一長串暴露的VNC實例，這些實例的密碼非常弱或沒有密碼。
弱密碼的案例引發(fā)了對VNC安全性的另一個擔(dān)憂，因為Cyble的調(diào)查僅集中在身份驗證層完全禁用的實例上。如果調(diào)查范圍擴大到包括弱密碼的服務(wù)器，那么潛在易受攻擊的實例的數(shù)量將會大幅增加。
此外，由于許多VNC產(chǎn)品不支持長度超過8個字符的密碼，因此即使會話和密碼被加密，它們本質(zhì)上也不安全。
建議VNC管理員永遠不要將服務(wù)器直接暴露在互聯(lián)網(wǎng)上，如果必須遠程訪問它們，至少將VNC服務(wù)器放在VPN后面加以保護。
即便VNC密碼強度有限，管理員也應(yīng)該始終向?qū)嵗砑用艽a以限制對VNC服務(wù)器的訪問。
來源：GoUpSec
