超9000臺VNC服務器無密碼暴露，中國最多

近日，Cyble的安全研究人員發(fā)現(xiàn)至少9000臺公開暴露的VNC(虛擬網(wǎng)絡計算)服務器，無需身份驗證即可訪問和使用，從而使攻擊者可以輕松訪問內(nèi)部網(wǎng)絡。

VNC(虛擬網(wǎng)絡計算)是一個獨立于平臺的系統(tǒng)，通過RFB(遠程幀緩沖協(xié)議)提供對遠程計算機(桌面)的訪問和控制，在設(shè)備間傳輸屏幕圖像、鼠標移動及鍵盤事件，可幫助用戶訪問需要監(jiān)控和調(diào)整的系統(tǒng)。

VNC暴露嚴重威脅工控系統(tǒng)安全

簡單來說，VNC系統(tǒng)可以幫助一臺設(shè)備遠程(跨平臺)訪問另一臺設(shè)備的屏幕。由于跨平臺實現(xiàn)以及許可證開源，現(xiàn)在VNC已經(jīng)是最常用的一種遠程管理工具，廣泛應用于工業(yè)自動化系統(tǒng)中，大多數(shù)工控系統(tǒng)廠商都會在產(chǎn)品中基于VNC來實現(xiàn)遠程管理工具。根據(jù)卡巴斯基的統(tǒng)計，約有三分之一的工控系統(tǒng)電腦中安裝了包括VNC在內(nèi)的各種遠程管理工具(RAT)。

如果這些VNC端點沒有使用密碼適當?shù)乇Ｗo(通常是由于疏忽、錯誤或僅僅為了方便)，可被未經(jīng)授權(quán)的用戶，包括惡意黑客的攻擊入口點。

有些暴露VNC的工控系統(tǒng)，例如關(guān)鍵的水(庫/處理)、能源、交通設(shè)施，如果訪問權(quán)被濫用可對整個社區(qū)甚至城市產(chǎn)生災難性影響。

中國暴露最多

Cyble的漏洞獵手在沒有密碼的情況下掃描了Web以查找面向互聯(lián)網(wǎng)暴露的VNC實例，結(jié)果發(fā)現(xiàn)了9000多臺可訪問的服務器。大多數(shù)暴露的實例位于中國和瑞典，而美國、西班牙和巴西緊隨其后，擁有大量未受保護的VNC。

更糟糕的是，Cybcle發(fā)現(xiàn)其中一些暴露的VNC實例用于工業(yè)控制系統(tǒng)，它們本不應該暴露在互聯(lián)網(wǎng)上。

“在調(diào)查過程中，研究人員通過分析VNC連接暴露的人機界面(HMI)系統(tǒng)、監(jiān)控和數(shù)據(jù)采集系統(tǒng)(SCADA)、工作站等鎖定具體工控系統(tǒng)設(shè)備?！盋yble在報告中指出。

在一個案例中，暴露的VNC訪問指向了一個制造單元中遠程SCADA系統(tǒng)上的泵控制HMI(下圖)。

為了了解VNC服務器被黑客針對的頻率，Cyble使用其網(wǎng)絡情報工具來監(jiān)控對VNC的默認端口5900端口的攻擊，結(jié)果發(fā)現(xiàn)一個月內(nèi)有超過600萬個請求。

大多數(shù)訪問VNC服務器的嘗試來自荷蘭、俄羅斯和美國。

VNC訪問在黑客論壇“熱銷”

黑客論壇對通過暴露或破解的VNC訪問關(guān)鍵網(wǎng)絡的需求很高(下圖)，因為這種訪問在某些情況下可用于更深層次的網(wǎng)絡滲透。

“攻擊者可能會濫用VNC作為登錄用戶執(zhí)行惡意操作，例如打開文檔、下載文件和運行任意命令?！盋yble研究人員指出。

攻擊者可以使用VNC遠程控制和監(jiān)視系統(tǒng)以收集數(shù)據(jù)和信息，從而轉(zhuǎn)向網(wǎng)絡中的其他系統(tǒng)。

有時候安全愛好者則會提示暴露的用戶提供有關(guān)如何自行掃描和定位這些暴露實例。

Bleeping Computer看到的一個暗網(wǎng)論壇帖子包含一長串暴露的VNC實例，這些實例的密碼非常弱或沒有密碼。

弱密碼的案例引發(fā)了對VNC安全性的另一個擔憂，因為Cyble的調(diào)查僅集中在身份驗證層完全禁用的實例上。如果調(diào)查范圍擴大到包括弱密碼的服務器，那么潛在易受攻擊的實例的數(shù)量將會大幅增加。

此外，由于許多VNC產(chǎn)品不支持長度超過8個字符的密碼，因此即使會話和密碼被加密，它們本質(zhì)上也不安全。

建議VNC管理員永遠不要將服務器直接暴露在互聯(lián)網(wǎng)上，如果必須遠程訪問它們，至少將VNC服務器放在VPN后面加以保護。

即便VNC密碼強度有限，管理員也應該始終向?qū)嵗砑用艽a以限制對VNC服務器的訪問。

來源：GoUpSec