Stampante di rete sfruttata (leggi: hackerata) per stampare documenti antisemiti. Come risolvere?

Non sono sicuro se questo dovrebbe essere chiesto qui o sopra su security.stackexchange.com ...

Durante il lungo weekend di Pasqua, un nostro piccolo ufficio ha avuto una violazione della rete in quanto una vecchia stampante HP è stata utilizzata per stampare alcuni documenti antisemitici molto offensivi. Essa sembra essere accaduto a un certo numero di università in culture occidentali in tutto il mondo .

Comunque ... ho letto che in realtà è un exploit di sicurezza piuttosto semplice con la maggior parte delle stampanti in rete. Qualcosa a che fare con la porta TCP 9100 e l'accesso a Internet. Non sono stato in grado di trovare molte informazioni sui dettagli di come perché tutti sembrano troppo preoccupati del perché.

L'impostazione della rete è piuttosto semplice per l'ufficio interessato. Dispone di 4 PC, 2 stampanti in rete, uno switch a 8 porte e un modem / router residenziale che esegue una connessione ADSL2 + (con IP Internet statico e una configurazione piuttosto vaniglia).
Il punto di debolezza è nel modem / router o nella stampante?

Non ho mai considerato una stampante come un rischio per la sicurezza che deve essere configurato, quindi nel tentativo di proteggere la rete di questo ufficio, vorrei capire come sono state sfruttate le stampanti. Come posso interrompere o bloccare l'exploit? E controllare o testare l'exploit (o il blocco corretto dell'exploit) nei nostri altri uffici molto più grandi?

Questo attacco ha influenzato in modo sproporzionato le università perché, per motivi storici, molte università usano indirizzi IPv4 pubblici per la maggior parte o tutta la loro rete e per motivi accademici hanno un filtro di ingresso (o uscita!) Scarso o nullo. Pertanto, molti singoli dispositivi su una rete universitaria possono essere raggiunti direttamente da qualsiasi luogo su Internet.

Nel tuo caso specifico, un piccolo ufficio con una connessione ADSL e un router domestico / SOHO e un indirizzo IP statico, è molto probabile che qualcuno in ufficio abbia esplicitamente inoltrato la porta TCP 9100 da Internet alla stampante. (Per impostazione predefinita, poiché NAT è in uso, il traffico in entrata non può andare da nessuna parte a meno che non sia previsto un provvedimento per dirigerlo da qualche parte.) Per rimediare a ciò, è sufficiente rimuovere la regola di port forwarding.

Negli uffici più grandi con un adeguato firewalling in ingresso, in genere non avrai regole di autorizzazione per questa porta al confine, tranne forse per le connessioni VPN se hai bisogno che le persone siano in grado di stampare sulla tua VPN.

Per proteggere la stampante / il server di stampa stesso, utilizzare l' elenco di consenti / controllo accessi incorporato per specificare l'intervallo o gli indirizzi IP autorizzati a stampare sulla stampante e negare tutti gli altri indirizzi IP. (Il documento collegato contiene anche altri consigli per la protezione di stampanti / server di stampa, che è necessario valutare anche.)

Per estendere la risposta di Michael Hampton. Sì, probabilmente è una regola di port forward. Ma di solito non è qualcosa che qualcuno potrebbe esporre deliberatamente. Tuttavia, può essere aggiunto dai dispositivi UPnP. Molto probabilmente avendo UPnP abilitato sul tuo router di livello residenziale.

Le università probabilmente hanno le loro stampanti hackerate per altri motivi poiché i router di livello aziendale di solito non supportano UPnP e se lo facessero sarebbero disabilitati per impostazione predefinita. In quelle situazioni le università sono grandi e hanno un sacco di IP pubblici e reti molto complesse e talvolta dipartimenti IT multipli con numerose scuole secondarie e campus. E non dimenticare gli hacker degli studenti a cui piace curiosare.

Ma, tornando alla mia teoria UPnP che potrebbe adattarsi al tuo caso.

È improbabile che qualcuno apra deliberatamente la porta 9100 sul router per consentire alla stampante di essere aperta al mondo. Non impossibile, ma alquanto improbabile.

Ecco alcune informazioni sul più probabile colpevole UPnP:

I difetti dell'UPnP espongono decine di milioni di dispositivi in ​​rete ad attacchi remoti, affermano i ricercatori

È così che sono state hackerate migliaia di telecamere IP nonostante fossero dietro router NAT.

Altre informazioni: utilizzo del protocollo Universal Plug-n-Play, telecamere di sicurezza non sicure e stampanti di rete Questi articoli hanno alcuni anni, ma sono ancora rilevanti. UPnP è semplicemente rotto e difficilmente può essere corretto. Disabilitalo.

L'ultima parte del primo paragrafo del secondo articolo lo riassume davvero:

Infine, la tua stampante di rete è in attesa di essere violata.

Infine, segui i consigli di Michael Hampton e, se possibile, aggiungi un elenco di controllo degli accessi.