Oleada de ataques de ‘cryptojacking’ afecta a más de 200.000 routers MikroTik

Una campaña de ataques de ‘cryptojacking’ afecta a más de 200.000 routers MikroTik de operadores brasileños.

 

El 23 de abril, la empresa MikroTik publicaba un parche que solucionaba una vulnerabilidad en el módulo ‘Winbox’ de su sistema ‘RouterOS’ hasta la versión 6.42.

Después de casi cinco meses, todavía son muchos los dispositivos que no han sido parcheados y que por lo tanto son vulnerables a CVE-2018-14847. Debido a esto, más de 200.000 routers MikroTik, la mayoría localizados en Brasil, se han visto afectados por una oleada de ataques de ‘cryptojacking’ que utilizaban el software ‘CoinHive’ para minar criptomonedas.

El atacante se las ingeniaba para ejecutar el script de CoinHive en el navegador de las víctimas. Lo hacía de varias maneras:

Aprovechando la vulnerabilidad antes mencionada, el atacante modificó las páginas de error del webproxy para incluir el script de minado.

Página de error manipulada. Fuente: www.trustwave.com
Página de error manipulada. Fuente: www.trustwave.com


De esta manera, cuando el usuario recibía una página de error, se ejecutaba el script que utilizaba los recursos de la víctima para minar.

Investigaciones posteriores descubrieron otros mecanismos que el atacante utilizaba para inyectar el script de minado en todas las páginas web que visitaba la víctima. Para ello se modificaba el módulo ‘wireless’ para inyectar el script en el html de las páginas que visitaban los clientes conectados al router por esta vía.

Módulo ‘wireless’ manipulado. Fuente: www.trustwave.com
Módulo ‘wireless’ manipulado. Fuente: www.trustwave.com

El atacante también se preocupó por la persistencia de su ataque. Aprovechando los permisos de administrador obtenidos al explotar la vulnerabilidad, añadió una tarea al planificador de procesos de RouterOS que descargaba y ejecutaba el script ‘u113.rsc’. Así, cada cierto tiempo se descargaban las paginas de error modificadas y se creaba la cuenta ‘ftu’ que servía de ‘backdoor’. Además de algunos comandos que tenían como objetivo limpiar el rastro del atacante para evitar su detección.

Planificador de procesos de RouterOS. Fuente: www.trustwave.com

Aunque la mayoría de los ataques se localizan en Brasil, se han detectado dispositivos afectados en otros puntos.

Se recomienda actualizar cuanto antes a la última versión disponible del firmware.

Cuando tu impresora es más lista de lo que parece: Ejecución remota en HPCuando tu impresora es más lista de lo que parece: Ejecución remota en HPCuando tu impresora es más lista de lo que parece: Ejecución remota en HP

HP ha publicado un boletín informando de una vulnerabilidad que permite ejecución remota de código en múltiples modelos de impresoras de tinta

La puntuación base CVSS no deja lugar a dudas: un 9.8 sobre 10. Para que nos entendamos, esta vulnerabilidad equivale a dejarse la puerta de casa abierta con las joyas en la mesa del salón. A pesar de que los vectores CVSS muchas veces no permiten describir la complejidad de una vulnerabilidad, un valor extremo es un mensaje claro. Y afectando a múltiples dispositivos, es una pequeña catástrofe. De éstas que te hacen poner un aviso claro en tu web:

En este caso, es posible que el reporte por parte del investigador externo se haya realizado de forma privada, ya que no aparece vínculo alguno al reporte técnico original. Estos reportes suelen ser más técnicos, y te permiten entender la parte importante de la vulnerabilidad, ya que los reportes oficiales suelen ser bastante escuetos y parecen escritos por cumplir. Por tanto, en este caso no podemos ofrecer un análisis técnico de los hechos y nos limitaremos a comentar el boletín oficial y comentar algunos hechos relacionados. La vulnerabilidad es lo más clásico: se manda a imprimir un archivo especialmente diseñado que desborda memoria en la impresora y permite ejecutar código arbitrario.

En el boletín oficial asignan los identificadores CVE-2018-5924 y CVE-2018-5924 a las vulnerabilidades descritas, y especifican una lista bastante larga de productos afectados, viéndose afectadas las impresoras de inyección de tinta (inkjet). También se especifica que se han actualizado los firmwares de las impresoras afectadas, y que los usuarios de éstas deberían actualizar el firmware a la versión indicada siguiendo el procedimiento enlazado en el mismo boletín.

Lo cierto es que es un tema algo candente, y parece ser que con la fiebre de la seguridad del IoT algunos se han dado cuenta de que esos cacharros que imprimen son otro punto vulnerable más. Y lo bueno de una impresora es que no se suele considerar sospechosa, pues se le cree tonta. Y al final es un dispositivo más, probablemente con acceso a Internet y un procesador ARM genérico que ejecutará lo que sea. Tirando un poco de historial y sin irnos muy lejos, podemos comprobar que hace casi un año se descubrieron algunas vulnerabilidades graves en impresoras HPEl reporte técnico que se realizó es para sentarse a leerlo y disfrutarlo.

Respecto a la seguridad de las impresoras, hay una wiki bastante interesante sobre la “(in)seguridad” como dicen ellos mismos de estos dispositivos. Asociado a la wiki disponemos de PRET, un conjunto de herramientas para la explotación de impresoras. Visto el panorama, parece un buen momento para prestarle atención a la explotación de estos dispositivos.