黑客如何用35美元的樹莓派偷走火星數據

平時看科幻或犯罪片，常有一些高手黑客在破舊的黑白電腦上敲幾行代碼，就成功入侵大型商業銀行或者X國國防部加密服務器的橋段。

雖說電影多有藝術化和虛構成分，但劇情倒也不是天馬行空。近日，美國宇航局NASA便向大家承認了這種“廉價的電腦入侵高端服務器”的事實。

美國宇航局（NASA）監察長辦公室（OIG）本周發布報告稱，2018年4月黑客曾入侵該機構網絡，竊取了約500MB數據。

火星任務數據被盜，入侵設備僅35美元

作為開源且廉價的Linux單片機設備，Raspberry Pi（樹莓派）被大批量引入校園計算機教育體系。黑客正是使用了這樣一臺價值35美元（折合人民幣240元）的廉價樹莓派設備。

在未經授權或者在繞過安全審查的情況下連接到NASA噴氣推進實驗室（JPL）的IT網絡上，并盜走了35個文件夾中的500MB數據。

在外媒的報道中，信息安全分析師邁克·湯普森分析，這次黑客入侵行為使得JPL對于建造和運行行星機器人太空船的保密信息遭到泄露。攻擊的背后，或許伴隨著更多尖端科技專利遭到破壞。

對此，JPL拒絕發表評論。但是，NASA官員對于上述猜測給予肯定。他們認為，襲擊事件發生后，黑客可以更深入的進行攻擊，并最終入侵任務系統操縱裁人太空任務的通訊信號。

OIG發布的報告中指出，造成此次黑客攻擊的原因很可能是JPL部門沒有使信息技術安全數據庫（ITSDB）處于實時更新狀態，導致其存在潛在的安全漏洞。

電影《火星任務》海報圖

值得一提的是，NASA透露在此次被盜的500MB數據中，很大一部分與美國計劃執行的火星任務相關，這也間接證明或許此次黑客攻擊另有原因。

調查人員稱，黑客除了入侵訪問JPL任務網絡外，還訪問了JPL的DSN（深空網絡）。這迫使NASA斷開了后者與JPL的網絡連接，以防被二次攻擊。

黑莓為后被攻破，或為中間人攻擊

這份多達49頁的OIG報告中提到，黑客通過入侵一個共享網絡網關并利用該入口深入JPL網絡。

原文是這樣說的：

The April 2018 cyberattack exploited this particular weakness when the hacker accessed the JPL network by targeting a Raspberry Pi computer that was not authorized to be attached to the JPL network. The device should not have been permitted on the JPL network without the JPL OCIO’s review and approval.

翻譯過來就是：

2018年4月的網絡攻擊利用了這個特殊的弱點，黑客攻擊了一臺未經授權連接到JPL網絡的樹莓派電腦，從而進入了JPL網絡。沒有JPL OCIO的審核和批準，該設備不應該被允許進入JPL網絡。

沒錯，這里的樹莓派并非黑客準備的，而是極大可能在NASA內部有人接入了一臺樹莓派之后被入侵所導致。

對于上述描述，有安全人士猜測這是利用黑莓派發動中間人攻擊的典型案例，以路由器攻擊為例：

將樹莓派Zero插入MikroTik hAP的USB口。此時，樹莓派已經能管理所有路由器的所有流量，它能“幫助”攻擊者控制整個網絡。

攻擊原理如下：

從MikroTik開始，這個品牌的很多路由器都支持3g和4g USB加密狗。而且，不只是小型路由器如hAP，還有一些更大的機架式路由器同樣如此。

默認情況下，這些設備都擁有一個輔助的USB WAN接口（通過USB接口進行網絡連接）。

配置好的樹莓派顯示為LTE接口

對黑莓派設置了P4wnP1的默認網絡設備描述符以及一個Linksys網絡適配器的VID/PID，因此它會被識別為一個新的WAN接口。

一旦插上路由器，路由器就會發送DHCP請求為這個新的lte1接口分配IP地址。

然后，樹莓派的DHCP響應會包含一些額外的路由指令，作用是“將所有互聯網流量導向到lte1接口”，其中涉及的指令如下。

接受樹莓派的DHCP響應后路由器的路由表

Samy Kamkar，Rob Fuller，P4wnP1，以及確信早已有人在BadUSB攻擊中利用過DHCP這項協議。但是，由于攻擊目標是路由器，因此所有局域網內的主機都會受到影響。

當然，樹莓派不是一個真正的WAN接口。它并不能提供上網功能，而且這里還存在死循環問題。

USB的流量會倒回去

目前解決這個問題的方法是通過VPN服務器轉發所有流量。在BadUSB發出的路由指令中，不會把指向特定VPN服務器的流量倒回。這樣，樹莓派就可以將所有數據傳輸到遠程VPN服務器，VPN服務器再將數據轉發到互聯網上。

最終架構

只要一切正常，局域網內的請求和響應都可以正常流通。在下圖中，可以通過traceroute命令看到MikroTik路由器將流量傳輸到樹莓派，然后再傳輸到VPN服務器，最后傳輸到公網中。

網友：NASA有內鬼？

正如上述，極大可能是NASA內部有人使用樹莓派連接到內部網絡之后被黑客攻入。

對此，有網友猜測：是不是NASA出現了內鬼？很快，這樣的猜測被其他網友否認了，他們認為這也許只是某個倒霉蛋的無意之舉。

考慮到近一年內尚未受到過類似程度的網絡攻擊，NASA OIG已將其列為一種高級持續威脅，更多信息將在NASA針對這起事件的調查工作結束后公布。

網友們覺得，此次NASA丟失的這500MB數據的重要性將直接決定此次APT事件的影響大小。而鑒于NASA這次毫不遮掩的“坦白”行為，不少網友覺得似乎無關緊要。

參考來源：知乎丨NOSEC；Chiphell社區；AI財經社雷鋒網雷鋒網雷鋒網

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。