Una botnet llamada Doorway dejó expuestos 41 GB de sus propios archivos, y los routers con contraseñas por defecto son su entrada favorita
La infraestructura criminal se queda abierta más a menudo de lo que se cree, y cuando ocurre, el papeleo resulta revelador. Los investigadores de CloudSEK encontraron en octubre dos espacios de trabajo de atacantes expuestos y extrajeron de ellos unos 41 GB de datos operativos, pertenecientes a una botnet que han bautizado como Doorway. Su informe, publicado el 28 de octubre, parece el panel logístico de una empresa de mensajería, solo que los paquetes son routers y cámaras.
La entrada principal es MikroTik RouterOS, a través de CVE-2023-30799, un fallo que tiene parche desde hace tres años, y del truco más viejo de todos: los accesos de administrador por defecto, incluida una contraseña vacía. Los registros muestran 7.369 inicios de sesión con éxito en MikroTik repartidos entre 4.923 dispositivos. El propio registro de los operadores presume de 11.363 dispositivos incorporados y 58.920 descargas de carga útil en una sola hora, aunque esa cifra no está verificada de forma independiente y CloudSEK trata sus números como mínimos. Una vez dentro, Doorway monta proxies SOCKS y convierte sin hacer ruido la conexión a internet de alguien en un relé para el tráfico de otros. Un solo proveedor tenía 1.060 fichas de abonados en el botín.
MikroTik no es una marca que reconozcan la mayoría de los hogares, pero los proveedores de internet reparten mucho de ella, y los 59 módulos de explotación también apuntan a cámaras, equipos de fibra y otros aparatos que entregan las operadoras. Las defensas son aburridas y eficaces. Cambia la contraseña de administrador del router si sigue siendo la de fábrica o, peor aún, está vacía. Desactiva la administración remota desde internet, apaga Telnet y UPnP si la configuración lo permite e instala las actualizaciones de firmware. Un router que hace de proxy para desconocidos rara vez muestra más síntomas que una conexión más lenta, así que si el equipo te lo dio tu proveedor, pregúntale si el firmware está al día.
El análisis de red de Tendvane enumera todos los dispositivos de tu red doméstica, una forma rápida de localizar la cámara vieja o el aparato olvidado que nadie ha actualizado desde que se enchufó.