Problémy zařízeni Ubiquiti

Aktualizace 22.12.2011 - Doplněn návod na odstranění problému u klientských zařízení
Problém se týká se zařízení řady "AirMax" - Bullet M, NanoBridge, AirGrid, Rocket, NanoStation M.

19. prosince 2011 se rozšířil po řadě počítačových sítí (a naši nevyjímaje) specializovaný počítačový virus, který napadá zařízení výrobce Ubiquiti. Tento úvodní článek ve stručnosti popisuje jaký vliv má právě na naši síť a co musí jednotliví členové sami udělat. Rozhodně se ale nejedná o všeshrnující popis příčin a definitivního řešení tohoto rozsáhlého problému. Článek bude průběžně aktualizován. Aktualizace 22:34


Aktualizované informace pro klientská zařízení
Jelikož zařízení na páteřní síti byla již techniky Klfree.net a dalších smluvních organizací vyřešena, zbývá uvést do provozuschopného stavu zařízení klientská.
Členové, kteří mají zařízení zapůjčené od Sdružení, se nemusí problémem zabývat - pokud si svévolně nezměnili jeho konfiguraci (hesla a podobně), bylo jejich zařízení již nyní dálkově aktualizováno. Malá část těch zařízení není však stále dostupná, protože jejich uživatelé je od pondělí ještě nerestartovali (vypnout/zapnout).
Ostatní uživatelé, s vlastním zařízením od firmy Ubiquiti, si mohou škodlivý program odstranit sami (návod viz níže) a nainstalovat aktuální firmware verze 5.3.5. - který již neumožní návrat infekce.

K četným dotazům doplňuji, že škodlivý program se soustředil pouze na získávání přístupových údajů ke službe Facebook. Případné obavy s napadení bankovních účtů a podobně nejsou namístě - ostatně útok byl zcela neúčinný na protokol https:// který snad každý zodpovědný uživatel používá pro přístup na citlivé stránky.

Pokud chtějí i ostatní uživatelé aby jejich zařízení (týká se zařízení řady "AirMax" - Bullet M, NanoBridge, AirGrid, Rocket, NanoStation M...) bylo vyčištěno a aktualizováno centrálně, musí ho především restartovat (aby bylo dostupné) a na adresu helpdesk@klfree.net oznámit jeho IP adresu a jméno+heslo které v něm mají nastavené. Samozřejmě si nejdříve mohou heslo změnit na nějaké neutrální a po aktualizaci si nastavit zpět své "tajné".
Jak odstranit škodlivý software svépomocí:
Na serveru root.cz je doporučeno přihlásit se do zařízení prostřednictvím SSH a v shellu spustit příkazy:

cd /etc/persistent
rm rc.poststart
rm -rf .skynet
#po odstranění zapište konfiguraci
cfgmtd -w -p /etc/
reboot

Po restartu zařízení následně aktualizujte firmware na verzi 5.3.5. dostupnou na adrese ubnt.com

---

Firma Ubiquiti (často označovaná "UBNT") je výrobcem velmi populárních zařízení typu NanoBridge, NanoStation a podobně - především pro pásmo 5,4 GHz. Zároveň jsou její zařízení (minimálně v ČR) zcela převažující platformou pro nasazení normy 802.11n - a to jak v komunitních, tak i komerčních sítích.

Ve firmware (jednoduchý program, řídící přímo dané zařízení) byla před časem objevena bezpečnostní nedostatečnost - což je u softwarových produktů vcelku běžné, například Windows jich mají desítky. Výrobce zařízení a zároveň i autor firmware většinou na zjištěné problémy reaguje v řádu několika dnů až týdnů.
Bohužel zjištěná chyba byla ještě před jejím odstraněním publikována na internetu a během několika hodin vznikl virus, pracovně označovaný jako "Skynet", který se mezi těmito zařízeními začal okamžitě šířit.
Prvotním cílem tohoto viru bylo jeho vlastní šíření a dále i shromažďovaní uživatelských jmen a hesel. Drobnou chybou v jeho konstrukci (jeho autor ho asi zapomněl důkladně sám doma otestovat :-) ) bylo způsobeno, že nakažené zařízení se po nějaké době zahltí a přestane pracovat. Z pohledu uživatele sítě pak "přestane fungovat internet" i když zařízení svítí a vypadá že pracuje.
Okamžitým řešením symptomů je vypnutí zařízení (odpojení od elektřiny) na několik desítek sekund a opětovné zapnutí. Následně bude zařízení znovu funkční, nicméně stále s virem - tedy možností že se problém bude znovu opakovat. Technici klfree.net již od časných ranních hodin provádějí restarty zařízení na přístupových bodech. Zároveň byla ihned zablokována adresa, na kterou virus odesílal zachycená jména a hesla.
Uživatelé jejichž zařízení bylo také napadeno, mohou jako okamžitou pomoct také své zařízení vypnout/zapnout. Tento postup ale není řešením problému, bez dalšího by došlo k opětovnému zaseknutí po několika hodinách/dnech.
Klfree, jako člen NFX je i součástí rozsáhlé skupiny techniků a odborníku, kteří již v tuto chvíli několik hodin pracují na definitivním řešení situace - novém firmware bez bezpečnostní chyba a i s vlastním antivirovým programem. Po otestování na vzorku stanic, bude postupně vyčištěna celá síť - zařízení na přístupových bodech. Zároveň bude vydán postup pro uživatele koncových zařízení, jak odstranit nákazu i u nich.

Technicky zdatnější zájemci si o "viru" mohou přečíst na stránkách root.cz - včetně návodu na ruční řešení problému.

Aktualizace 22:34
Firma Ubiquiti vydala nový firmware 5.3.5 který odstraňuje bezpečnostní díru. Technici ho již testují v laboratorních podmínkách a i několika místech v sítí. Aktualizace firmware ale neodstraní virus! Jeho odstranění je nutné zatím provádět ručně - autor firmware připravuje automatizovaný nástroj na jeho odstranění.
Nový firmware lze stáhnout na ubnt.com