Un botnet numit Doorway și-a lăsat la vedere 41 GB din propriile fișiere, iar routerele cu parole implicite sunt intrarea lui preferată

Infrastructura infractorilor rămâne deschisă mai des decât ai crede, iar când se întâmplă, hârțogăraia e grăitoare. Cercetătorii CloudSEK au găsit în octombrie două spații de lucru ale atacatorilor expuse și au extras din ele circa 41 GB de date operaționale, aparținând unui botnet pe care l-au botezat Doorway. Raportul lor, publicat pe 28 octombrie, arată ca panoul logistic al unei firme de curierat, doar că pachetele sunt routere și camere.

Principala cale de intrare este MikroTik RouterOS, prin CVE-2023-30799, o vulnerabilitate care are remediere de trei ani, și prin cel mai vechi truc din carte: datele de autentificare implicite de administrator, inclusiv o parolă goală. Înregistrările arată 7.369 de autentificări MikroTik reușite pe 4.923 de dispozitive. Jurnalul propriu al operatorilor susține 11.363 de dispozitive înrolate și 58.920 de descărcări de payload într-o singură oră, deși cifra nu a fost verificată independent, iar CloudSEK își tratează numerele drept minime. Odată intrat, Doorway configurează proxy-uri SOCKS și transformă discret conexiunea la internet a cuiva într-un releu pentru traficul altora. Un singur furnizor avea 1.060 de înregistrări de abonați în pradă.

MikroTik nu e o marcă pe care s-o recunoască majoritatea gospodăriilor, dar furnizorii de internet împart destul echipament de-al lor, iar cele 59 de module de exploatare vizează și camere, echipamente de fibră și alte aparate puse la dispoziție de operatori. Apărarea e plictisitoare și eficientă. Schimbă parola de administrator a routerului dacă e încă cea implicită sau, mai rău, goală. Dezactivează administrarea de la distanță din internet, oprește Telnet și UPnP dacă setările permit și instalează actualizările de firmware. Un router care face pe proxy pentru străini arată rareori alt simptom decât o conexiune mai lentă, așa că, dacă echipamentul ți l-a dat furnizorul, întreabă-l dacă firmware-ul e la zi.

Scanarea rețelei din Tendvane listează fiecare dispozitiv din rețeaua ta de acasă, o cale rapidă de a găsi camera veche sau cutia uitată pe care n-a mai actualizat-o nimeni de când a fost conectată.