Un botnet nommé Doorway a laissé 41 Go de ses propres fichiers à découvert, et les routeurs aux mots de passe par défaut sont sa porte d'entrée préférée
Les infrastructures criminelles restent ouvertes plus souvent qu'on ne le croit, et quand c'est le cas, la paperasse est révélatrice. Les chercheurs de CloudSEK ont trouvé en octobre deux espaces de travail d'attaquants exposés et en ont extrait environ 41 Go de données opérationnelles, appartenant à un botnet qu'ils ont baptisé Doorway. Leur rapport, publié le 28 octobre, ressemble au tableau de bord logistique d'une société de livraison, sauf que les colis sont des routeurs et des caméras.
La principale porte d'entrée est MikroTik RouterOS, via la faille CVE-2023-30799, corrigée depuis trois ans, et via la plus vieille astuce qui soit : les identifiants administrateur par défaut, y compris un mot de passe vide. Les registres montrent 7 369 connexions MikroTik réussies sur 4 923 appareils. Le propre journal des opérateurs revendique 11 363 appareils enrôlés et 58 920 téléchargements de charges utiles en une seule heure, même si ce chiffre n'a pas été vérifié de façon indépendante et que CloudSEK considère ses chiffres comme des minimums. Une fois à l'intérieur, Doorway installe des proxys SOCKS, transformant discrètement la connexion internet de quelqu'un en relais pour le trafic d'autres personnes. Un seul fournisseur d'accès comptait 1 060 fiches d'abonnés dans le butin.
MikroTik n'est pas une marque que la plupart des foyers reconnaîtraient, mais les fournisseurs d'accès en distribuent beaucoup, et les 59 modules d'exploitation visent aussi des caméras, des boîtiers fibre et d'autres équipements fournis par les opérateurs. Les parades sont ennuyeuses et efficaces. Changez le mot de passe administrateur du routeur s'il est encore celui par défaut, ou pire, vide. Désactivez l'administration à distance depuis internet, coupez Telnet et UPnP si les réglages le permettent, et installez les mises à jour du firmware. Un routeur qui sert de proxy à des inconnus ne montre guère d'autre symptôme qu'une connexion plus lente, donc si votre fournisseur vous a remis le boîtier, demandez-lui si son firmware est à jour.
Le scan réseau de Tendvane liste tous les appareils de votre réseau domestique, un moyen rapide de repérer la vieille caméra ou le boîtier oublié que personne n'a mis à jour depuis son branchement.