Mogłoby się wydawać, że w erze komunikacji e-mail i systemów pracy grupowej rozwiązanie tak archaiczne jak faks już dawno nie ma racji bytu. Statystyki pokazują jednak, że urządzenia te wciąż pozostają całkiem popularne w wielu organizacjach. Problem w tym, iż właśnie wykazano, że mogą one być wykorzystane do przeprowadzenia skutecznych ataków przeciwko firmowej infrastrukturze informatycznej.
Jeszcze przed kilkunastoma laty telefaks był podstawową metodą przesyłania dokumentów pomiędzy firmami, organizacjami czy urzędami. Z czasem jednak, w większości zastosowań funkcję faksu przejęła poczta elektroniczna, systemy pracy grupowej czy serwisy oferujące hosting plików. Nie znaczy to jednak, że rozwiązania te zupełnie wyparły urządzenia telefaksowe. Wciąż pozostają one popularnym rozwiązaniem w wielu branżach – szczególnie w tych, w których istotne jest szybkie przekazanie dokumentu z podpisem. O ile dziś przesłanie takiego dokumentu można zrealizować na wiele sposobów, to siła przyzwyczajenia sprawia i wielu użytkowników wciąż faksuje dokumenty.
Mimo, że od premiery pierwszego telefaksu – wyprodukowanego przez firmę Xerox – minęło już ponad 50 lat, to szacuje się, że na całym świecie w użytku pozostaje kilkadziesiąt milionów takich urządzeń. Znaczna część z nich to oczywiście nowoczesne urządzenia, łączące funkcje i zalety wielu różnych sprzętów – i być może to właśnie ta kompleksowość jest po części przyczyną ujawnionych właśnie problemów.
Podczas niedawnej konferencji Def Con 26 w Las Vegas specjaliści z działającego w ramach firmy Check Point zespołu Malware Research Team zademonstrowali poważne luki w zabezpieczeniach dwóch popularnych urządzeń wykorzystywanych w amerykańskich firmach do faksowania dokumentów – wielofunkcyjnych drukarek HP Officejet Pro 6830 oraz HP OfficeJet Pro 8720. Owe błędy pozwalają na zdalne wywołanie błędy przepełnienia bufora na zaatakowanym urządzeniu i wykonaniu na nim dowolnego – również złośliwego kodu. Teoretycznie wystarczy więc tylko wysłać na adres faksu odpowiednio spreparowaną wiadomość, by wprowadzić do firmowego systemu np. wirusa czy oprogramowanie typu ransomware.
Co istotne, taka złośliwa wiadomość może wyglądać zupełnie niewinnie – szkodliwy kod może być osadzony np. w pliku graficznym. Sprawa jest o tyle poważna, że wiele faksów skonfigurowanych jest tak, by automatycznie przyjmowały nadchodzące wiadomości, więc napastnik nie musi nawet zwodzić użytkownika, by ten odebrał faks. Wystarczy, że będzie znał numer danego urządzenia, który często jest publicznie dostępny na firmowej stronie – i wyśle odpowiednio spreparowaną wiadomość.
HP Inc., jako producent wspomnianych urządzeń został poinformowany o wykrytych lukach odpowiednio wcześniej. Dzięki temu opracowano już – i udostępniono klientom – aktualizacje wbudowanego oprogramowania, które usuwają podatności. Specjaliści z zespołu Check Point Malware Research Team podkreślają jednak, że podobny problem może również dotyczyć wielu urządzeń innych producentów oraz popularnych usług typu „fax2e-mail” – ponieważ większość z nich wykorzystuje te same, podatne na ataki, protokoły komunikacyjne.
