Archivos de etiquetas: router

Combinar 3 vulnerabilidades críticas podría permitir la toma de control de routers D-Link

Investigadores de Silesian University of Technology, en Polonia, descubrieron diversas fallas que pueden ser explotadas para tomar el control de algunos routers D-Link.
Las vulnerabilidades halladas son: Directory Traversal (CVE-2018-10822), Password almacenada en texto plano (CVE-2018-10824), e Inyección de comandos en Shell (CVE-2018-10823).
Esto es debido a múltiples vulnerabilidades en el servidor httpd de los routers D-Link, las cuales se encuentran presentes en diversos modelos. Al utilizar estas 3 vulnerabilidades combinadas permiten tomar el control total del router, incluyendo ejecución de código.
Algunos de los modelos afectados son: DWR-116, DWR-111, DWR-140L, DIR-640L, DWR-512, DWR-712, DWR-912, y DWR-921.
La vulnerabilidad de Directory Traversal, permite al atacante que la explota, la facultad de leer archivos arbitrariamente utilizando llamadas HTTP. Anteriormente esta vulnerabilidad fue reportada a D-Link con el CVE-2017-6190, pero el fabricante no mitigó correctamente esta falla. Esto permite que el atacante obtenga acceso al archivo que guarda la contraseña del administrador del dispositivo en texto plano.
Guardar contraseñas en texto plano es seguida con el CVE-2018-10824. Para evitar una explotación masiva, los investigadores no revelaron la ruta donde se encuentra el archivo de las contraseñas.
La otra vulnerabilidad permite que un atacante no autorizado ejecute comandos de forma arbitraria y de esta forma tomar el control total del dispositivo.
Esta situación ya fue comunicada oportunamente a D-Link, pero este fabricante aún no ha tomado acción al respecto, es por esto que se estas vulnerabilidades se hicieron públicas.
Mientras se espera una actualización de seguridad para estos routers, se recomienda que no se les permita acceso desde Internet.
Los investigadores publicaron un video para demostrar este ataque

GhostDNS: El nuevo botnet de DNS que ya ha secuestrado sobre 100 mil Routers

Investigadores de seguridad chinos han descubierto una campaña de malware que se está distribuyendo de amplia manera, y ya ha secuestrado sobre 100.000 routers para modificar sus configuraciones de DNS y así redirigir a los usuarios hacia páginas maliciosas (especialmente si intentan visitar sitios de bancos) y de esta forma así robar sus credenciales de acceso.
Denominado GhostDNS, esta campaña tiene muchas similitudes con el infame malware DNSChanger, el cual funciona modificando la configuración de los servidores DNS de un dispositivo infectado, permitiendo de esta manera que los atacantes ruteen el tráfico de internet de los usuarios hacia servidores maliciosos y así robar datos sensibles.
De acuerdo a un nuevo reporte de la empresa de seguridad Qihoo 360, GhostDNS analiza las IP de los routers que utilizan contraseñas débiles o no utilizan contraseña alguna (DNSChanger funciona de la misma manera), con tal de cambiar las direcciones DNS por defecto por alguna de las controladas por los atacantes.
Sistema GhostDNS: Se compone principalmente de 4 módulos:
1.- El modificador de DNS: Es el módulo principal de GhostDNS, el cual está diseñado para explotar routers definidos basados en la información recopilada.
Éste a la vez contiene 3 sub-módulos:
a) Shell DNS Changer: Escrito en Shell, este sub-módulo combina 25 scripts de Shell que pueden realizar ataques de fuerza bruta sobre las contraseñas en routers o paquetes de firmware de 21 fabricantes distintos.
b) Js DNSChanger: Principalmente escrito en JavaScript, este sub-módulo incluye 10 scripts de ataque diseñados para infectar 6 routers o paquetes de firmware distintos. Su estructura funcional es principalmente dividida en escaners, generadores de carga y programas de ataque. El programa Js DNSChanger usualmente es inyectado en sitios de Phishing, por lo que funciona bien junto con el sistema Phishing Web System.
c) PyPhp DNSChanger: Escrito en Python y PHP, este sub-módulo contiene 69 scripts de ataque distintos para 47 routers y firmware, éste ya ha sido encontrado sobre 100 servidores, muchos de ellos en la nube de Google, además incluye funcionalidades como una API Web, y módulos de escáner y ataque.
Éste sub-módulo es el principal de DNSChanger que permite que los atacantes busquen en internet por routers vulnerables.
2.- Módulo de administración Web: Aunque los investigadores aún no tienen mucha información acerca de este módulo, pareciera ser un panel de administración para los atacantes que contiene una pagina de login segura
3.- Módulo DNS malicioso: Es el responsable de resolver los nombres de dominio desde los servidores web controlados por los atacantes, lo que principalmente involucra a bancos y servicios de hosting en la nube; junto con un dominio que pertenece a la empresa de seguridad Avira.
4.- Módulo Phishing Web: Cuando un dominio apuntado es resuelto con éxito mediante el módulo DNS malicioso, el módulo de Phishing muestra la correcta versión falsa del sitio específico.
Investigadores de NetLab declararon: “No tenemos acceso al servidor DNS malicioso, así que no podemos decir con certeza cuantos nombres de DNS han sido secuestrados, pero al hacer consulta en los dominios de Alexa Top1M y DNSMon’s Top1M contra el servidor DNS malicioso (139.60.162.188), hemos sido capaces de detectar un total de 52 dominios secuestrados”

De acuerdo a los investigadores, entre el 21 y el 27 de septiembre, la campaña GhostDNS afectó a mas de 100.000 routers de los cuales el 87% se encuentran localizados en Brasil, por tanto se induce que ese país es el principal objetivo de los atacantes de GhostDNS.
Como proteger su router doméstico de los Hackers
Para poder protegerse a si mismo de ser una víctima de estos ataques, se recomienda que se asegure de que su router está ejecutando la ultima versión de su firmware, y además de que tiene contraseñas fuertes para el portal web de administración de su router.
También puede considerar el deshabilitar la administración remota, cambiar su dirección IP local por defecto, y configurar fijamente un servidor DNS de confianza (1.1.1.1) en el sistema operativo de su router.
Fuente: https://thehackernews.com/2018/10/ghostdns-botnet-router-hacking.html

Aumentan routers afectados por VPNFilter

El malware VPNFilter, una botnet gigante que se dio a conocer hace un par de semanas y que ataca a los routers, acaba de empeorar.
Originalmente se creía que afectaba a unos 15/20 routers domésticos y dispositivos NAS fabricados por Linksys, MikroTik, Netgear, TP-Link y QNAP, ahora se sabe que también están en peligro otros 56 de Asus, D-Link, Huawei, Ubiquiti, UPVEL y ZTE.
Talos (Cisco) obtiene esta información tratando de determinar los modelos en los que se ha detectado VPNFilter, pero dado la extensión del trabajo (hay al menos 500.000 dispositivos infectados, probablemente más), la lista posiblemente no esté completa.
La alerta actualizada confirma que VPNFilter tiene la habilidad de actuar como un man-in-the-middle interceptando el tráfico web HTTP/S, algo que la investigación realizada por SophosLabs sobre este malware había concluido que era muy probable, lo que significa que no solo es capaz de monitorizar el tráfico y capturar credenciales, sino que también potencialmente puede repartir exploits entre los dispositivos conectados a la red.
Los routers domésticos se han convertido en un objetivo importante pero un malware capaz de infectar a tantos es relativamente raro. La última amenaza que afectó a routers de varios fabricantes y que tuvo una incidencia importante probablemente fue DNSChanger, que nadie fue capaz de detectar durante años, habiendo surgido en 2007.
Como VPNFilter es mucho más potente (para comenzar no hay manera sencilla de detectarlo), suponemos que cualquier dueño de uno de los routers afectado habrá tomado las precauciones necesarias.
Pero ¿qué precauciones?
Las posibilidades de que VPNFilter infectara tu router son bajas dado el número de positivos detectados por Talos y la gran cantidad de routers domésticos. Sin embargo, es una buena idea refrescar las precauciones a tomar.
Simplemente encender y apagar el router no es suficiente. Se ha descubierto que partes de VPNFilter pueden sobrevivir este proceso y reinstaurar la infección. Esto solo deja a los dueños el realizar un reseteado completo devolviendo el router a su estado de original de fábrica.
Después de comprobar que se dispone de una conexión por cable al router, hay dos maneras de realizarlo, mientras se está conectado a Internet, o, para más seguridad, cuando se está desconectado. Si se utiliza la segunda opción deberás haber descargado la última versión del firmware del router antes de comenzar.
Si escoges la opción más sencilla el router te guiará durante todo el proceso, después deberás realizar lo siguiente:
Actualiza el firmware a la última versión. Esto es lo más importante porque últimamente los routers son objetivo de los cibercriminales por lo que requieren actualizaciones regulares.
Intenta reinstalar la configuración del router desde un fichero backup que realizaras con antelación, de este manera ahorraras mucho tiempo.
Este también es un buen momento para que cambies el nombre de usuario y contraseña del router. Además deberías chequear si el router tiene activado alguna de las siguientes opciones que deberían estar desactivadas.
Administración web remota.
Enrutamiento de puertos.
Servicios no usados como Telnet, Ping, FTP, SMB, UPnP, WPS y remoto acceso al NAS.
Activa el registro, esto te ayudará en futuras infecciones.
Si tu router no recibe actualizaciones de firmware considera la opción de comprar otro y busca un fabricante que tenga un buen historial ofreciendo actualizaciones de seguridad en un período de tiempo razonable.
En resumen, VPNFilter no es un enemigo tan fiero. No parece que utilice ninguna vulnerabilidad día cero y se aprovecha de contraseñas antiguas o débiles. Esto es un buen recordatorio de la importancia de que deberíamos tener por la seguridad de nuestros routers del mismo modo que lo tenemos por nuestros ordenadores.