Взломали сеть ЦИК через 0-day уязвимость в Cisco ASA.
Карта взломанной сети ЦИК Украины

net1

Сеть состоит из 3 подсетей:
1. User LAN + DMZ;
2. Server & Storage LAN;
3. Удаленные клиентские машины.

UserLAN + DMZ

net2

Эта подсеть состоит из ASA FW2, центрального коммутатора с резервированием и пользовательских машин. Прослушивая трафик на CiscoASA, получили доступ к внутренним ресурсам сети, в частности, к серверам с адресами 192.168.101.2 (M2) и 192.168.102.2 (W1). Судя по настройкам ASA, сервер M2 – почтовый, а W2–WEB.

access-list M2_access_in extended permit tcp object-group M2 any4 eq smtp
object network DMZ-M2
nat (M2,outside) static 195.230.157.5 service tcp smtp smtp
object network DMZ-WEB
nat (W2,outside) static 195.230.157.53 service tcp www www

По всей видимости, то, что в настройках обозначено какW2, на схеме обозначено как W1.
В почте выловили логины и пароли, среди которых были пароли администраторов. Эти учетные данные подошли к серверам M2 и W1 во внутренней сети User LAN и Server LAN.

Server&Storage LAN

net3

В этом сегменте стоят CiscoNexus, развернута система хранения и система виртуализации. Второй сегмент состоит из двух корзин блэйд-серверов (OA 1,2) и файловых хранилищ (Storage 1,2).

net4

net5

net6

net7

net8

На входе в эту подсеть стоит ASA. Доступ к ней получили через ту же багу.
Конфигурация ниже. По ней видно, что доступ к основным узлам второй подсети (AD, Oracle и др.) открыт для админов. Именно с этих машин и пошли дальше.
access-listLAN_CVK_access_in extended permit tcp object-group Supportobject-group DBobject-group DB_admin_ports
access-listLAN_CVK_access_in extended permit icmp object-group Support object-group DBecho
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group L1eq 3389
access-listLAN_CVK_access_in extended permit icmp object-group Support object-group M1echo
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group M1eq https
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group ADeq domain
access-listLAN_CVK_access_in extended permit udp object-group Support object-group ADeq domain
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group DSeq 3389
access-listLAN_CVK_access_in extended permit ip object-group Support object-group L1
access-listLAN_CVK_access_in extended permit ip object-group Support object-group AD
access-listLAN_CVK_access_in extended permit ip object-group Support object-group M1
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group M1eq imap4
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group M1eq pop3
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group M1eqsmtp
access-listLAN_CVK_access_in extended permit tcp object-group Support object-group M1eq www

Вся структура и назначение узлов сети очень подробно описана в ТЗ, которое удалось вытащить у сисадминов ЦИКа.

net9
P.S. Особая благодарность чудо-админам, хранящим данные по доступу к узлам сети в текстовых файлах на рабочем столе, за увлекательный квест.
9

Судя по истории подключений, американская компания SOESoftware продолжает осуществлять непосредственное управление волеизъявлением народа Украины, оставив для себя полный (!!!) доступ к ключевым узлам сети ЦИК (см. ниже скриншоты с логами подключений):

10

11

12

13

14

15

16

17

18

19

Странно, что при этом операционная система не активирована(!!!):

20

21
22
23
24

От себя:
Это дурдом братцы) ну кто так сети строит?:)

By Ruslan Novikov

Интернет-предприниматель. Фулстек разработчик. Маркетолог. Наставник.