Uma botnet chamada Doorway deixou expostos 41 GB dos seus próprios ficheiros, e os routers com palavras-passe de origem são a sua porta de entrada favorita
A infraestrutura criminosa fica aberta mais vezes do que se pensa, e quando isso acontece a papelada é reveladora. Os investigadores da CloudSEK encontraram em outubro dois espaços de trabalho de atacantes expostos e retiraram deles cerca de 41 GB de dados operacionais, pertencentes a uma botnet a que chamaram Doorway. O relatório, publicado a 28 de outubro, parece o painel logístico de uma transportadora, só que as encomendas são routers e câmaras.
A principal porta de entrada é o MikroTik RouterOS, através da CVE-2023-30799, uma falha corrigida há três anos, e do truque mais antigo de todos: os acessos de administrador de origem, incluindo uma palavra-passe vazia. Os registos mostram 7369 inícios de sessão bem-sucedidos em MikroTik, distribuídos por 4923 dispositivos. O próprio registo dos operadores reclama 11 363 dispositivos recrutados e 58 920 transferências de payload numa única hora, embora esse número não tenha sido verificado de forma independente e a CloudSEK trate os seus valores como mínimos. Uma vez lá dentro, a Doorway instala proxies SOCKS e transforma discretamente a ligação à internet de alguém num ponto de passagem para o tráfego de terceiros. Um único operador tinha 1060 registos de clientes no saque.
A MikroTik não é uma marca que a maioria das famílias reconheça, mas os operadores de internet distribuem muito equipamento seu, e os 59 módulos de exploração também visam câmaras, equipamentos de fibra e outros aparelhos fornecidos pelos operadores. As defesas são aborrecidas e eficazes. Mude a palavra-passe de administrador do router se ainda for a de origem ou, pior, se estiver vazia. Desative a gestão remota a partir da internet, desligue o Telnet e o UPnP se as definições o permitirem e instale as atualizações de firmware. Um router que serve de proxy a estranhos raramente mostra outro sintoma além de uma ligação mais lenta, por isso, se foi o operador que lhe deu o equipamento, pergunte-lhe se o firmware está atualizado.
A análise de rede do Tendvane lista todos os dispositivos da sua rede doméstica, uma forma rápida de encontrar a câmara antiga ou a caixa esquecida que ninguém atualizou desde que foi ligada.