OSINT desde satcoms "Destructor navy"

OSINT desde satcoms

Una cosa que me llamó la atención fueron las similitudes entre los desafíos que enfrenta el ciberespacio marítimo y los desafíos que la seguridad de los controles industriales en los servicios públicos comenzó a abordar hace varios años.

En el pasado, ICS funcionaba en redes dedicadas y aisladas. Los protocolos de red eran personalizados y arcanos, la seguridad era inexistente en estos sistemas críticos de seguridad. Pero realmente no importaba mucho, siempre y cuando la seguridad física de los puntos finales y las comunicaciones fuera buena. El vector de amenaza y los ataques vistos fueron en su mayoría gruñones e informados ingenieros de ICS / SCADA.

Ahora naves: controles industriales complejos, pero flotantes. Tradicionalmente aislado, ahora siempre conectado, conectado a través de VSAT, GSM / LTE e incluso Wi-Fi. Acceso a internet de la tripulación, purgado con sistemas de navegación electrónicos, ECDIS, propulsión, gestión de carga y muchos otros sistemas complejos y personalizados. Una receta para el desastre

Sin embargo, todavía parece haber una actitud de 'no me va a pasar'. Así que tomé mi charla en la ruta de explotación de terminales satcom y OSINT; para que sea lo más real posible, mostrando barcos reales y personas reales en tiempo real.

Como parte del equipo de pruebas de pluma que solía trabajar a bordo de portacontenedores, tenemos un conocimiento fascinante de la seguridad de los sistemas de navegación. Comencemos con nuestro amigo Shodan: Las grandes marcas en el espacio de satélites marítimos incluyen Inmarsat, Telenor y Cobham. Veamos lo que podemos encontrar en www.shodan.io.

Inmarsat es un poco fácil, entonces una búsqueda de 'org:' Inmarsat Solutions US ''. Verá muchos inicios de sesión para Globe Wireless sobre texto plano HTTP, también una marca anterior como 'Rydex'. Globe se compraron y cambiaron de nombre como Inmarsat en 2013, por lo que puede fechar el cuadro de comunicación solo por la marca. La mayoría de estos son muy antiguos, sin duda ejecutando firmware fechado.

El sistema Cobham 'Sailor 900' es un poco más interesante desde una perspectiva de divulgación de información:

Busque el título: "sailor 900" 'y obtendrá detalles de la antena del satélite no autenticados, p.

Ahora, en ausencia de exploits conocidos como este para Sailor 900, para realizar cambios o realizar acciones maliciosas, es necesario autenticarse como usuario administrador. El valor predeterminado es admin / 1234. No he comprobado ni verificaré estos creds en la terminal de otra persona, pero ¿qué posibilidades hay de que alguien olvide cambiarlos durante la instalación?

La mayoría de los incidentes de "piratería" marítima informados en la prensa últimamente me parecen ser simples créditos por defecto / faltantes de las terminales de comunicaciones, luego el 'hacker' hace clic en una GUI del sistema de control.

Eso realmente no cuenta como un truco para mi mente, aunque la consecuencia es la misma. De todos modos, de vuelta a la charla y más buscando a Shodan:Busque 'html: commbox' y verá una buena colección de terminales KVH CommBox. Aquí es donde las cosas se ponen un poco tontas.

Sí, falta TLS en el inicio de sesión nuevamente. Pero empeora. Mira abajo a la derecha, verás el nombre del barco; lo he redactado en negro en este caso.

Debajo del inicio de sesión está lo siguiente:

'Mostrar usuarios' - ¿WTF?

Puede solicitar el contenido agregando /rest.php?action=QCgetActiveUsers o simplemente haga clic en el enlace

😊

De ahí viene una lista de todo el equipo en línea en ese punto.

Aquí está el barco.

Aquí está donde estaba hoy, desde AIS: en el Estrecho de Malaca, en dirección a Tubarao en Brasil.

Un momento en Google y teníamos el perfil de Facebook del cadete de cubierta que habíamos visto usando la commbox:

Este pobre tipo está listo para el phishing, sabemos casi todo sobre él.

Simple phish, tome el control de su computadora portátil, busque la falta de segregación en la red de nave y migre a otros dispositivos más interesantes.

O simplemente raspe sus creds al commbox y tome el control de esa manera. ¡No debería ser así de fácil!

Ah, y aquí está algo de la configuración de red, simplemente al pasar el mouse sobre la GUI