Una botnet chiamata Doorway ha lasciato esposti 41 GB dei propri file, e i router con password predefinite sono la sua porta d'ingresso preferita
Le infrastrutture criminali restano aperte più spesso di quanto si pensi, e quando succede le carte sono rivelatrici. I ricercatori di CloudSEK hanno trovato a ottobre due spazi di lavoro di aggressori esposti e ne hanno estratto circa 41 GB di dati operativi, appartenenti a una botnet che hanno chiamato Doorway. Il loro rapporto, pubblicato il 28 ottobre, sembra il pannello logistico di un corriere, solo che i pacchi sono router e telecamere.
La via d'ingresso principale è MikroTik RouterOS, attraverso CVE-2023-30799, una falla corretta da tre anni, e attraverso il trucco più vecchio che ci sia: le credenziali di amministratore predefinite, compresa una password vuota. I registri mostrano 7.369 accessi MikroTik riusciti su 4.923 dispositivi. Il registro degli stessi operatori rivendica 11.363 dispositivi arruolati e 58.920 download di payload in una sola ora, anche se il dato non è stato verificato in modo indipendente e CloudSEK considera i propri numeri come minimi. Una volta dentro, Doorway configura proxy SOCKS, trasformando in silenzio la connessione internet di qualcuno in un ponte per il traffico di altri. Un solo provider contava 1.060 schede di abbonati nel bottino.
MikroTik non è un marchio che la maggior parte delle famiglie riconoscerebbe, ma i provider ne distribuiscono parecchio, e i 59 moduli di exploit prendono di mira anche telecamere, modem in fibra e altri apparati forniti dagli operatori. Le difese sono noiose ed efficaci. Cambia la password di amministratore del router se è ancora quella predefinita, o peggio, vuota. Disattiva la gestione remota da internet, spegni Telnet e UPnP se le impostazioni lo consentono, e installa gli aggiornamenti del firmware. Un router che fa da proxy per estranei raramente mostra sintomi oltre a una connessione più lenta, quindi se il dispositivo te l'ha dato il provider, chiedigli se il firmware è aggiornato.
La scansione di rete di Tendvane elenca ogni dispositivo della tua rete domestica, un modo rapido per individuare la vecchia telecamera o il box dimenticato che nessuno ha aggiornato da quando è stato collegato.