|
VPNFilter
VPNFilter es un malware diseñado para infectar diferentes routers. Hasta el 28 de mayo de 2018, se estima que pudo haber afectado aproximadamente entre 500,000 y 1,000,000 de routers en todo el mundo. Este malware puede robar datos personales y, además, implementa un "kill switch", un sistema diseñado para destruir remotamente el router y puede resistir un proceso de reinicio del dispositivo.[1] Según el FBI, este malware pudo ser creado por el grupo de hackers ruso Fancy Bear.[2][3] Modo de operación del malwareVPNFilter está programado para atacar diferentes routers, y se considera que está específicamente diseñado para infectar dispositivos de redes que usan el protocolo Modbus tanto en las comunicaciones como para control industrial de hardware - utilizado en las fábricas y almacenes.[4] Este malware usa las credenciales por defecto de los routers para conectar e infectar los dispositivos, sin embargo, la infección puede ser evitada usando medidas de seguridad estándar, como por ejemplo, cambiar las claves de acceso por defecto. El proceso de infección del dispositivo ocurre en múltiples etapas:
Efectos del malwareVPNFilter espía los datos enviados a través de una red donde al menos uno de los dispositivos está infectado, almacenando información de carácter sensible, como contraseñas y nombres de usuario, e incluso datos de control que pueden ser utilizados para futuros ataques a la red. Mitigar los efectos del malwareTanto Cisco como Symantec sugieren restaurar a los valores de fábrica del dispositivo si existen indicaciones de que este puede haber sido infectado. Normalmente, este proceso se consigue utilizando un objeto pequeño y puntiagudo para pulsar un botón de reinicio durante unos 10 a 30 segundos (dependiendo del modelo). Una vez reiniciado a sus valores de fábrica, las claves del dispositivo volverán a su configuración por defecto, por lo que deben ser actualizados inmediatamente para evitar nuevas infecciones.[4] Dispositivos afectadosEl virus inicial que instala el malware VPNFilter ataca únicamente a dispositivos que ejecutan un firmware basado en Busybox en Linux compilado para procesadores específicos, no incluyendo los ordenadores de sobremesa linux.[5] Los siguientes routers han sido reconocidos como potencialmente sensibles al ataque hasta la fecha:[6][1][7] Dispositivos Asus:
Dispositivos D-Link:
Dispositivos Huawei:
DIspositivos Linksys:
Dispositivos Mikrotik:
Dispositivos Netgear:
Dispositivos QNAP:
Dispositivos TP-Link:
Dispositivos Ubiquiti:
Dispositivos Upvel:
Dispositivos ZTE:
EpidemiologíaSegún Cisco Talos, el malware VPNFilter podría haber infectado hasta 500,000 dispositivos en el mundo,[5] en 54 países diferentes, aunque se estima que la mayoría de ataques se habrían concentrado en Ucrania. Investigación del FBIEl FBI destinó múltiples recursos a una investigación que culminó con el cierre del dominio toknowall.com, el cual se considera que podía haber sido utilizado para redirigir distintas peticiones de la etapa 1 del malware, permitiendo al virus recuperar el código necesario para proceder a las etapas 2 y 3.[3] Alentar a la reinfecciónEl 25 de mayo de 2018, el FBI sugirió que bastaría con que los usuarios reiniciaran el dispositivo, de manera que las etapas 2 y 3 se eliminarían del dispositivo, aunque dejando la etapa 1 activa. De este modo, los dispositivos infectados necesitarían conectar al dominio requisado para infectar de nuevo al dispositivo, lo que ayudaría al FBI a descubrir los dispositivos infectados.[9][10][2] Referencias
Referencias
|
|||||||||||
