Vědci stvořili experimentální virus, který jako chřipka skáče z jednoho Wi-Fi hotspotu na druhý. Chameleon je prý předzvěstí malwaru další generace. Wi-Fi má přeci doma každý.
Když se vás zeptám, jak se šíří počítačový virus, nejspíše mi odpovíte, že pomocí nějakého nosiče. Dříve to byla disketa, o něco později optický disk a USB jednotka, no a dnes je to nejčastěji webový prohlížeč.
Počítačoví inženýři však už roky studují ještě jednu možnost. Co kdyby se softwarový virus šířil stejně jako chřipka vzduchem? Na první pohled se to může jevit jako téma na laciné sci-fi z Hollywoodu, ale realita — alespoň ta laboratorní — je jiná. Něco takového je opravdu možné.
Viry, které se šíří skrze Wi-Fi signál
Doba pokročila a prostor hustě obydlených měst dnes vyplňuje signál tisíců Wi-Fi sítí. Je to zcela nový a doposud nepříliš zmapovaný svět za zrcadlem, o kterém toho moc nevíme. Tyto sítě se přitom často překrývají, jejich vysílače jsou vzájemně docela blízko, čili by se skrze ně mohla informace šířit z jednoho bodu do druhého.
Pokud by to byl virus, lze už na jeho šíření aplikovat opravdové epidemiologické modely. Čtveřice vědců z Římské univerzity se o to pokusila už v roce 2008 (studie), a kdyby takový malware skutečně existoval, během prvních 24 hodin by čistě teoreticky mohl za dokonalých podmínek obsadil i celý Manhattan.
Svět za zrcadlem: Mapa Prahy vyjádřená částí tamních Wi-Fi sítí – co tečka to jeden router/AP. Více než čtvrtina z nich má velmi špatné vnější zabezpečení.
Podobných studií se v posledních letech objevilo více, přičemž se počítačoví vědci konečně začali ptát na to, jestli by bylo možné takový virus skutečně zkonstruovat.
Chameleon
Letitý problém zaujal i Jonnyho Millikena z Queen's University v irském Belfastu a v roce 2012 publikoval první studii, ve které popisuje teoretický virus Chameleon, který útočí na Wi-Fi routery a AP, provede aktualizaci jejich firmwaru a začne sbírat třeba přihlašovací jména a hesla uživatelů. Nikdo si toho nevšimne, hotspot se totiž i nadále chová a vypadá jako dříve.
Hlavní specialitou Chameleona je však způsob jeho šíření. Milliken se totiž inspiroval italskými vědci a navrhl experimentální malware takovým způsobem, aby postupně napadal okolní bezdrátové prvky v okolí.
Návrh Chameleona zůstával i nadále na papíře, téma však brzy zaujalo další vědce z Liverpoolské univerzity a společně s Millikinem loni publikovali nový dokument Detection and analysis of the Chameleon WiFi access point virus (studie). Studie nicméně způsobila rozruch teprve nyní, kdy si ji zaregistrovala technologická média napříč internetem.
Virus, který skáče z hotspotu na hotspot
Studie je to svým způsobem přelomová, jako první svého druhu totiž popisuje chování skutečného viru v laboratorních podmínkách. Suma sumárum, vědci na pracovišti instalovali několik bezdrátových přípojných bodů, vypustili Chameleona z klece a sledovali, jakým způsobem bude postupně infikovat ostatní AP v dosahu.
Chameleon je poměrně autonomní virus. Jakmile ovládne první hotspot, na který jej může nainstalovat přímo hypotetický útočník, analyzuje okolí a získá seznam napadnutelných bezdrátových přípojných bodů. V dalším kroku prolomí zabezpečení hotspotu, vytvoří zálohu nastavení a webové administrace síťového prvku, následně do něj nahraje záškodnický firmware a opět obnoví původní nastavení.
Uživatel, na jehož domácí Wi-Fi router právě virus útočí, by si tedy neměl ničeho všimnout. Síťový prvek se na chvíli odmlčí a restartuje, ale po opětovném naběhnutí bude jeho konfigurace naprosto identická jako dříve. Oběť nic nepozná, záškodnický firmware už ale mezi tím může třeba zvesela sledovat veškerou protékající nešifrovanou komunikaci. Nejdůležitější je však to, že jakmile je nový Wi-Fi AP plně infikován, spustí se opět cyklus šíření a virus se začne stejně jako agent Smith z Matrixu duplikovat na další síťové prvky v dosahu.
Chameleon útočí na fiktivní Londýn
Jakmile si vědci v laboratoři ověřili, že Chameleon může fungovat, aplikovali jej na model rozložení Wi-Fi hotspotů v Belfastu a Londýně. Jako zdroj dat posloužila obří globální databáze zaměřených Wi-Fi sítí Wigle.net. Vědci si vybrali jen relativně malé oblasti obou měst, nicméně i tak se jednalo o plochu, na které se nachází více než sto tisíc všemožných bezdrátových krabiček. V obou případech byla až čtvrtina z nich bez vnějšího zabezpečení a pětina s naprosto nevyhovujícím šifrováním WEP, takže se přímo nabízely k útoku.
Mapa Brna vyjádřená Wi-Fi sítěmi. Čtverečky znázorňují hustotu na jednotku plochy. Hustota aktivních bezdrátových routerů a AP v oranžových až tmavě červených sektorech je tedy natolik vysoká, že i zde by se mohl speciální virus snadno šířit z jedné krabičky na druhou.
Aby se mohl virus úspěšně šířit, musí mít okolo sebe dostatek hotspotů. Ve sledované oblasti Londýna se jich nacházelo lehce přes tři tisíce na kilometr čtvereční. To v ideálním případě odpovídá asi osmnáctimetrové vzdálenosti mezi každým z nich. Týká se to zejména čtvrtí s menšími obytnými domy, z nichž každý má domácí hotspot a virus by tedy mohl skákat z jednoho na druhý. Ještě lépe by to pak fungovalo na amerických předměstích s jejich tolik typickou geometrickou strukturou. Šíření viru nakonec zajišťuje i více možných spojení. V dosahu jednoho bezdrátového prvku je totiž zpravidla více sítí, jen v uvažované výseči Londýna se tedy dohromady jednalo o dva miliony potenciálních cest pro šíření Chameleona.
Obsadit velkoměsto naštěstí není jen tak
Nabízí se tedy otázka, proč už se tímto způsobem viry dávno nešíří. Odpověď je nasnadě: protože realita je mnohem komplikovanější. Vědci dali v modelu záškodnickému firmwaru několik dnů na prolomení ochrany cíle. Pokud se mu to nepodařilo, hotspot byl umístěný na černou listinu, aby na něj zbytečně neútočily další kopie. Jakmile se však síťový prvek dostane na černou listinu, může zamezit viru v postupu, a ten si tak musí hledat novou cestu oklikou.
Zmapování a ovládnutí celého města tedy může při tomto tempu trvat několik let, nebo klidně i několik desítek let. Neznámých je zde jednoduše příliš mnoho a dokud to některý útočník nebo třeba NSA nevyzkouší v praxi, pravdu se nedozvíme.
Šíření viru a postupně obsazovaná oblast v průběhu času. R odpovídá maximální vzdálenosti mezi dvěma hotspoty. Pro R=10 m je tedy šíření nejpomalejší, zatímco pro R=50 m zdaleka nejrychlejší. Pokud se vám zdá šíření viru přesto pomalé, uvažte paralelní šíření – tedy vypuštění viru na mnoha různých místech (otevřené Wi-Fi v kavárnách aj.).
Autoři studie především upozorňují na to, že podobný útok je opravdu možný, a pokud by se soustředil jen na vybraný typ hotspotů — třeba na ty, které jsou kompatibilní s komunitními firmwary OpenWrt/DD-Wrt, mohl by být mnohem úspěšnější.
A co je nakonec nejdůležitější, některý budoucí Chameleon by mohl po tichém ovládnutí bezdrátové infrastruktury velkoměst začít útočit. Spící buňka by se probudila a mohla by aktivně útočit na připojené počítače. Mohla by je odpojit od internetu, podvrhovat jim falešné weby změnou DNS serveru, mohla by je samozřejmě odposlouchávat a dělat další neplechu.
Ostatně kdo ví, jestli se to už dávno neděje.
