Пользователь «Хабра» подключился к сети РЖД и получил доступ к камерам и внутренним сервисам компании Статьи редакции

В РЖД отрицают утечку данных и обещают провести расследование.

Пользователь «Хабра» под псевдонимом LMonoceros рассказал, как ему удалось подключиться к сети РЖД и получить доступ к изображениям с камер наружного наблюдения и внутренним сервисам компании. Сделал он это ненамеренно — пользователь пытался проверить, как много пользователей не закрывают доступ в сеть через свой роутер.

Обновлено в 21:16 Пользователь «Хабра» обновил публикацию — с ним связались специалисты РЖД и совместно устранили обнаруженные уязвимости.

По словам автора, с помощью утилиты nmap он запустил поиск по диапазону адресов по порту 8080 и обнаружил незащищённый роутер, через который можно попасть во внутреннюю сеть РЖД.

Пользователь утверждает, что часть сетевого оборудования компании либо не защищена паролями, либо на нём стоят простые пароли по умолчанию. Получить доступ можно к большинству камер наружного видеонаблюдения и установленным в офисах — всего, «по скромным ощущениям» автора, около 10 тысяч устройств.

Камеры РЖД

Кроме того, пользователь смог получить доступ к IP-телефонам, FreePBX серверам, системам управления табло на перронах, системе управления кондиционерами и вентиляцией, а также «чему-то похожему» на мониторинг состояния систем обеспечения здания.

Пользователь считает, что камеры можно легко вывести из строя, достаточно заблокировать сетевой интерфейс. На это, по подсчётам автора статьи, у гипотетического злоумышленника уйдёт три дня. Примерный ущерб РЖД — 130 млн рублей при учёте средней стоимости одной камеры в 13 тысяч рублей.

При этом быстро заменить камеры у РЖД не получится, утверждает автор. «В резерве столько нет. Купить новые из-за обязанности объявления торгов также не получится», — заявляет он. По его словам, после такой атаки РЖД может остаться без системы видеонаблюдения на месяц.

Также автор отметил, что он не единственный, кто обнаружил эту уязвимость. Например, в настройках роутеров РЖД он нашел линки, которые встречал на других роутерах — не относящихся к оборудованию компании.

В пресс-службе РЖД опровергли утечку данных пользователей, пишет ТАСС. Компания заявила, что проводит расследование по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга.

В 2019 году доступ ко внутренней сети РЖД получил другой пользователь «Хабра» под псевдонимом keklick1337 — он взломал Wi-Fi в «Сапсане» и получил доступ к данным пассажиров.

0
263 комментария
Написать комментарий...
Треугольный Илья
Пользователь «Хабра» подключился к сети РЖД

Никогда такого не было и вот опять😂

Ответить
Развернуть ветку
Андрей

Еще хуже этот комментарий пресс-службы РЖД:

Компания заявила, что проводит расследование по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга.

Похоже их напрягло не то, что у них дыра в безопасности, а то что об этом рассказали на Хабре. Учитывая последние тенденции, как бы этого пользователя Хабра не обвинили в появлении дыры.

Ответить
Развернуть ветку
28 комментариев
Alex Kuz

А потом пришел товарищ майор и пофиксил эти баги.

Ответить
Развернуть ветку
badResistor

Запретить Хабр!

Ответить
Развернуть ветку
Alexey Ivanov

Вот трудно мне поверить в историю про одного политика-блоггера, фбс и яд и запись телефонного разговора с фсб-ником, но читаешь потом такие статьи и понимаешь, какой АД и некомпетентность в гос.структурах...

Ответить
Развернуть ветку
Иван Конышев

Пропаганда о том что всё государственное - лучшее внедряется с детства. Вот мы и пребываем в иллюзиях. А по факту - дыры в безопасности, плохо обработанный гульфик, Солсбери и тд

Ответить
Развернуть ветку
50 комментариев
Maxim Petrukhin

Почему вам так трудно? Там же не марсиане работают. Обычные люди, которые и ленятся, и косячат, а иногда совершают поступки, мотивы которых могут с трудом объяснить.
Меня вот всегда удивляло, что так легко верят в сказки о каких-то супер людях, у которых всегда все получается, всегда есть план, им никогда не лень и не пох. 

Ответить
Развернуть ветку
Аккаунт удален

Комментарий недоступен

Ответить
Развернуть ветку
7 комментариев
Jack Morositel

Странно что вам трудно. Видимо живёте в розовых очках)) ну или не здесь...

Ответить
Развернуть ветку
30 комментариев
Фоксик

А как вам новость, что бандиты вымогали деньги у мотострелковой дивизии? 
Успешно, замечу. 
Или, что данными о передвижение высокопоставленных лиц обменивались в чате ватсап (ну тут я еще хоть понимаю почему) 

Ответить
Развернуть ветку
2 комментария
Sergey Burmistrov

Почему же тогда трудно поверить?

Ответить
Развернуть ветку
Mike Kosulin

Буква Б в аббревиатуре РЖД обозначает Безопасность.

Ответить
Развернуть ветку
Ol Ka

Ёбко!

Ответить
Развернуть ветку
Тимур Абрамов

Про букву Ж не проконсультируете?

Ответить
Развернуть ветку
9 комментариев
Anton Timofeev

Очевидно, что это акт легализации данных американских спецслужб

Ответить
Развернуть ветку
Jiko

РЖД это трэш компания. Как можно быть убыточной компанией, являясь при этом единственной на рынке. Ещё постоянно получая дотаций из бюджета. Так что даже нет сомнений, что их система дырявая

Ответить
Развернуть ветку
Yan

еще ЕЭС России, Газпром, Роснефть, Автоваз убыточны. И у руля гос-ва походу тоже самые неудачные топ-менеджеры в мире, которые вели к успеху успешному, как заявляли, а привели к упадку. 

Ответить
Развернуть ветку
6 комментариев
Харламка

Справедливости ради, они убыточны в том числе потому, что не могут бросить неприбыльные направления совсем. Типа социальная функция. 

Ответить
Развернуть ветку
2 комментария
Denis Kiselev

К слову, прибыль естественной монополии - это налог на экономику. Она не особо полезна всем.

В естественных монополиях особенной проблемой является контроль издержек и размер инвестиций.

Ответить
Развернуть ветку
3 комментария
IWASVERYBAD

"Все работы хороши" про РЖД к ознакомлению.
Первая часть видео этому и посвящена.

Ответить
Развернуть ветку
rngzd

А кто сказал что у нее цель получать прибыль?) Кто тогда дотации даст?

Ответить
Развернуть ветку
Dmitry Lisenkov

она при Якунине была убыточной, сейчас очень даже в плюсе

Ответить
Развернуть ветку
1 комментарий
Alexey Ivanov

Вы правда не понимаете как? )))) Для справки посмотрите про жизнь бывшего главы РЖД Якунина.

Ответить
Развернуть ветку
2 комментария
Денис Демидов

Это где она единственная, в грузоперевозках или в пассажирских перевозках?

Ответить
Развернуть ветку
Yury Y

"Ещё постоянно получая дотаций из бюджета."
ну если дотации недостаточные, то будете убыточной компанией :)
а вообще не стоит так красноречиво заявлять, посмотрите например на Евростар, компанию, которой принадлежит тоннель под Ла-Маншенм, убыточная с момента открытия. А в Португалии на сколько знаю уже половину путей разобрали. Дело в том, что строительство и поддержание инфраструктуры требует огромных денег, это вам не кофейная франшиза. У ЖД транспорта трудности во многих странах, а если ещё не очень компетентные люди в управлении окажутся...

Ответить
Развернуть ветку

Комментарий удален модератором

Развернуть ветку
Anton Reut

WD унылое говно, типичная юбисофтовская дрочильня

Ответить
Развернуть ветку
3 комментария
Тарас Мукин

Грустнее всего что все знают, что всё это закончится абсолютно ничем. В скучном случае автора назовут дурачком и "ничего там важного нет", в смешном — назовут ЛГБТ-инструктором НАТО и шпионом Обамы, в худшем — посадят. А сеть останется абсолютно такой же, разве что с небольшой вероятностью где-нибудь пароли поменяют.

Ответить
Развернуть ветку
Ivan

да сейчас скрипт-киддисов набежит и всё поломают, а посадят автора.

Ответить
Развернуть ветку
Vyacheslav Teplyakov

вот работаешь ты такой сетевым админом, совершенствуешься в своем деле, семинары, вебинары, курсы бесконечные, циска-фигиска, ufw, iptables и думаешь... надо больше учиться, надо быть лучше, я не так хорош как чуваки которые сидят в больших компаниях на крупных проектах и рулят большими инфраструктурами и бюджетами. А потом вылазит что-то вот такое... В стиле админ у РЖД эникейщик, а сайт администрации города сделал сын главного бухалтера на джумле, распилив чемодан денег... И думаешь. б... а чего я до сих пор такой бедный?

На самом деле там вроде как ЗП у них никакая, вот и результат работы "специалистов".
В пресс-службе РЖД опровергли утечку данных пользователей
или говоря их языком #чеблягдеблядокажибля

Ответить
Развернуть ветку
Anton Reut

А что плохого в Джумле? Многие сайты в мире, в том числе и серьезные проекты крутятся на Джумле/Вордпрессе.

Ответить
Развернуть ветку
11 комментариев
Ivan

у них в "телекоме" - электромонтёры, о чем дальше говорить-то?
у сисадмина дочерней конторы з/п так себе, надо объёмы работ смотреть. может в одну каску от владивостока до калининграда эфиры мониторит и ролики сам нарезает)))

Ответить
Развернуть ветку
Georgy Smirnov

На счет зарплат - Лет 15 назад занесло меня на практику в РЖД, в одну лабораторию потом предложили у них остаться, две зарплату предлагали для той должности очень приличную на заводах и госслужбах столько не предлагали, сравнимые деньги платили в транснефти , но туда брали только по блату.

Ответить
Развернуть ветку
ЯжПрограммист

Интересно, в РДЖ думают что постоянно "опровергать" свои дыры это проще, чем наконец нанять нормальных спецов, ну хотя бы заказать вменяемый аудит, ахуеть и всё-равно нанять нормальных спецов... хотя что я несу конечно же нет.

Ответить
Развернуть ветку
Аккаунт удален

Комментарий недоступен

Ответить
Развернуть ветку
Аккаунт удален

Комментарий недоступен

Ответить
Развернуть ветку
Ivan

ну, типа, данные карт и паспортов не тронуты, а то, что кто угодно может на тебя через камеру посмотреть - не велика беда!

Ответить
Развернуть ветку
Victor Meykson

Твой поезд теперь принадлежит мне)

Ответить
Развернуть ветку
Alexey Ivanov

"Хотели бы закрыть дыры в безопасности - закрыли бы. Хе-хе-хе. Вы думаете, мы не знаем, что ЦРУ отслеживает это все? Хе-хе-хе"

Ответить
Развернуть ветку
Батин Воротила

а был бы порт не 8080, а какой-нибудь 49637, то система была бы непробиваемой..

Ответить
Развернуть ветку
3216q114
Пользователь считает, что камеры можно легко вывести из строя, достаточно заблокировать сетевой интерфейс. На это, по подсчётам автора статьи, у гипотетического злоумышленника уйдёт три дня. Примерный ущерб РЖД — 130 млн рублей при учёте средней стоимости одной камеры в 13 тысяч рублей.

Как же иногда бесит как некоторые считают, ущерб, потери и т.д. И таких счетоводов даже слушать не хочеться, очевидно они натягивают сову на глобус ради циферок побольше. И кто гарантирует что они и остальное также не натянули.

Ответить
Развернуть ветку
Art Kha

вот уж точно. откат явно не учёл!

Ответить
Развернуть ветку
5 комментариев
3216q114

Всем минусующим, первый наводящий вопрос, вы сами статью читали ? Второй, вы мега профессионалы по ip  камерам и знаете как их окирпичить на  100% и чтобы не восстановить ? А теперь вопрос зачем покупать новые ?
Вот теже ахис сбрасываться кнопочкой,  и даже если все равно потеряеkся IP можно через  arp -a к ней подключиться. Вот уже замена камеры не нужна. Я уж не говорю что можно и программатором поработать.

Ответить
Развернуть ветку
16 комментариев
Mikhail Shamov

ПИД, по-другому логотип РЖД не читается.

Ответить
Развернуть ветку
Ted Halton

Логотип у них прикольный. Хорошо обыграная лигатура. А так можно любую фигню за уши притянуть до нужного смысла, как это сделал сосед со скриншотом про иврит

Ответить
Развернуть ветку
1 комментарий
Mike Kosulin
Ответить
Развернуть ветку
Кони Скачут

Ой, насчитал им там миллиарды на аудиторов и пентестеров. Все эти уязвимости элементарно закрываются посадкой хабрахакера. 

Ответить
Развернуть ветку
Кони Скачут

черт, надо было еще жирнее писать

Ответить
Развернуть ветку
6 комментариев
Алексей К

Даже и не думайте это делать

Ответить
Развернуть ветку
Михаил Цуцков

Вот это дааа... ещё 7 лет назад можно было на изи найти так камеры. Тоже так делал. Там хоть домашнюю, хоть фирмы включай. Я тогда на всякий ток заправки зачекал, а то бы ещё пиджаки поймали..😜

Ответить
Развернуть ветку
Sasha Step

Сделал он это ненамеренно — пользователь пытался проверить, как много пользователей не закрывают доступ в сеть через свой роутер.
Вот тут улыбнуло....не перевелись еще в стране иванов английские Робин Гуды

Ответить
Развернуть ветку
hakhagmon

ну и зачем рассказал, теперь присядет 

Ответить
Развернуть ветку
Ol Ka

РЖД теряет хватку 🤭

Ответить
Развернуть ветку
Minimal Culture

Без Семина совсем на дно упали..

Ответить
Развернуть ветку
Alexey Sharapov

У статьи на Хабре, если что, апдейт есть "связались со мной специалисты РЖД и совместно закрыли уязвимости."

Ответить
Развернуть ветку
Serge Tikhonenko

Главное,что доступ в шубохранилище не получил

Ответить
Развернуть ветку
Denis Bystruev

Хорошая новость: по крайней мере, камеры существуют, не муляжи.

Плохая новость: безопасность там и не начиналась. То, что нашёл Алексей — это вишенка на торте. Из оригинальной статьи:

«1) Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp.

2) Я попадаю в сеть, где межсетевые экраны отсутствуют как класс.

3) Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит, о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал.

4) Обнаружил кучу устройств без защиты. Это говорит [о том], что службы сетевой безопасности в РЖД также нет.

5) Много устройств с дефолтными паролями. То есть политики паролей тоже нет.

6) С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется.

7) Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN»

Ответить
Развернуть ветку
mik m

Хабрнул ржд😂

Ответить
Развернуть ветку
Юрий Другач

«Сделал он это ненамеренно» - у нас правоохранителей это обычно не волнует. 

Ответить
Развернуть ветку
Vit Mih

По результатам статьи про Сапсан, чинуша - айтишник рыжедэ повышен в должности. После этой статьи он станет гендиректором. Это многоходовочка. Расходимся.

Ответить
Развернуть ветку
Copy Paste

Ничего не изменится, сколько бы РЖД не проверяли, по факту все теперь знают, что любой кулхацкер-10классник сможет столкнуть поезда, свести с рельс и прочее прочее. Это уже чувствуется по их ответу. И всё-таки объясните, как главой IT в ржд и многих других конторах стал розовощёкий пухляк не имеющий профильного образования?

Ответить
Развернуть ветку
Khabib96

10классник? про кабель поперек рельс даже детсадовцы уже знают

Ответить
Развернуть ветку
Большой жёлтый робот

Ври
@
Отрицай

Ответить
Развернуть ветку
Александр Сивашёв

- У нас дыра в безопасности!
- Хоть что-то у нас в безопасности!

Ответить
Развернуть ветку
Dimakey Lekko

"Уязвимость уволена месяц назад и больше у нас не работает"

Ответить
Развернуть ветку
Nikolay Kenig

Когда-то я работал в РЖД, но меня уволили. но я знаю секретный пароль от вайфая
Переведи 100р на этот номер и ты его узнаешь! 
:)))))))
Олды вспомнят этот прикол

Ответить
Развернуть ветку
Илья Константинович

Вот так дрочишь себе спокойно дома, а в это время "к вашей камере подключился пользователь Хабра", а за ним и весь VC 🤯

Ответить
Развернуть ветку
xxx xxx

В ответ ему скажут - происки зарубежных спецслужб, а чел только озвучил.

Ответить
Развернуть ветку
Аккаунт удален

Комментарий недоступен

Ответить
Развернуть ветку
Кирилл Лолов

Эти ребята с хабра все супер мозговитые😂😂😂

Ответить
Развернуть ветку
Мия Кошкина

А ларчик-то просто отковался)

Ответить
Развернуть ветку
Alex Suv

Должны были уже завести уголовное дело по идее. Пока ещё стадия "отрицание", видимо.

Ответить
Развернуть ветку
Я не скажу свое имя машине

А дело-то чего не завели, как принято, на того, кто помогает находить дыры? 

Ответить
Развернуть ветку
Яна Дробяз

Чем только не займешься в наши Новосибирские морозы)))))

Ответить
Развернуть ветку
Таир Газиев

"Загадка дыры"

Ответить
Развернуть ветку
Владислав Мальцев

А откуда ж Якунину было деньги на шубы брать, спрашивается? Наивные вы люди

Ответить
Развернуть ветку
Alex Ondre

Из-за этого мудака у нас безопасники сейчас лютуют как Роскомпозор, блокируют всё и вся: телеграм, вотсап, даже блин веб интерфейсы к почте вроде мейла и гугла.

Ответить
Развернуть ветку
Serge Kharkov

Я когда играл в Киберпанк 2077 все удивлялся, что это за скрипты такие, которыми можно просто прохожего завалить. Теперь примерно начинаю понимать: "проблемы безопасности сильно преувеличены", а потом хоппа - скрипт.

Ответить
Развернуть ветку
Alex Trud

Найдут хакера и посадют.

Ответить
Развернуть ветку
Аккаунт удален

Комментарий недоступен

Ответить
Развернуть ветку
Крейг

Как закрыть доступ в сеть через роутер? Просто пароля хватит?

Ответить
Развернуть ветку
MiDDeT

Предположу что если бы 'пользователь хабра' не выкладывал это на хабр, а связался бы сразу с РЖД.....  то ему бы даже не ответили) 

Ответить
Развернуть ветку
Shining Metal Ass

В новостях: в поездах РЖД засорились унитазы, дерьмо растекается по пассажирским вагонам
Пресс-служба РЖД (в очередной раз): проводится расследование, утечки данных пользователей не произошло

Ответить
Развернуть ветку
Тоже хочу

РЖД не долго думал и просто отключил Wi-Fi по всей России
https://vc.ru/transport/947073-v-rf-otklyuchili-wi-fi-v-elektrichkah?comment=6894535

Ответить
Развернуть ветку
ilia

Почему США жалуется на российских и китайских хакеров, а Россия - не жалуется ни на каких? Потому что  России не надо быть хакером чтобы получить доступы - дураки открыли все дороги..

Ответить
Развернуть ветку
Connecting Ppl

Ну получил доступ к камерам - пусть смотрит хоть сутками напролет, остальное тоже мелочь какая-то. Уверен, что доступ к даже сколько-нибудь важным сервисам он вряд ли сможет получить. Сделали из мухи слона.

Ответить
Развернуть ветку
260 комментариев
Раскрывать всегда