Dos hackers argentinos protagonizan una serie de pérdidas de seguridad que afectan hasta 500 millones de euros. enrutadores de la marca taiwanesa DrayTek. Hubo una carroza en “La Villa Hacker”, un espacio en español que debutó este año en DEF CON, una de las conferencias de hackers más grandes del mundo.
Se trata de diversas vulnerabilidades que son graves porque entre ellas un atacante puede acceder a una red interna, interceptar y manipular el tráfico.
“La investigación comenzó cuando un cliente de Faraday experimentó un incidente de malware y solicitó ayuda para resolver la situación. Durante la evaluación, descubrimos que varios enrutadores DrayTek estaban deshabilitados y eran vulnerables”, explicó Clarín Octavio Gianatiempo, investigador de la empresa argentina de ciberseguridad Faraday. En compañía del investigador Gastón Aznarez, quien también explicó el problema, demostró la etapa de exploración.
“El primer paso fue darse cuenta ingeniería inversa en el firmware del dispositivo, esto implica descomprimir y descifrar el sistema operativo actual. Durante este análisis en profundidad, descubrimos varias vulnerabilidades importantes, que nos permitieron descubrir la posibilidad de instalar módulos de código en el sistema operativo del enrutador. Esta capacidad permite ejecutar programas maliciosos. forma persistente en el dispositivo, también resistente a reinicios y actualizaciones, lo que representa una grave amenaza a la seguridad”, afirmó el analista.
La “persistencia” es una actividad muy buscada por los atacantes: no pueden entrar solos en los equipos, sino que deben acceder a ellos de forma continua (y, en el mejor de los casos, sin ser detectados).
El fallo es sobrio donde se considera como dispositivos»borde» de la marca. Es un tipo de hardware «que se sitúa en el borde de un rojo y actúa como límite entre el rojo local y el rojo externo», añadió Aznarez. «Los routers son un ejemplo típico de periféricos Edge y sus atractores. para los atacantes, al comprometerlos, Puedes acceder a la red roja interna, interceptar y manipular el tráfico rojo.y lanzar ataques adicionales desde una posición estratégica”, completó.
Faraday tiene un historial de descubrimiento de vulnerabilidades. El año pasado, en DEF CON 32, se lanzó una investigación pública para modificar la transmisión de video de un modelo de cámaras Ezviv ampliamente vendidas en América Latina. En 2022 habrá un tanque en uno de los principales escenarios respecto a una caída crítica en el sistema de desarrollo de Realtek, empresa que fabrica semiconductores y que impacta en los routers de todos, incluidos algunos de Los modelos de routers más vendidos en Latinoamérica.
El alcance de la vulnerabilidad y cómo mitigarla
A nivel técnico el router se corresponde con lo dicho Sistema operativo en tiempo real (RTOS): “El sistema operativo en tiempo real es un sistema operativo en tiempo real. A diferencia de los sistemas operativos de propósito general, un RTOS se especializa en gestionar y ejecutar tareas específicas con alta precisión temporal y previsibilidad. En el caso de los routers, el RTOS está optimizado para zonas rojas, gestionando el tráfico de datos y garantizando una representación eficiente y consistente”, explicó Aznarez.
“Durante la investigación, descubrimos actualizaciones de los enrutadores DrayTek, incluidos los módulos RTOS para este sistema operativo. Pero también sabemos que tienes la opción de instalar estos módulos dinámicos mientras el enrutador está en ejecución. Esto permite al fabricante y, potencialmente, a los atacantes modificar y ampliar la funcionalidad del RTOS. La capacidad de instalación de estos módulos facilita a los usuarios.la capacidad de persistencia del dispositivoincluyendo ajustes y actualizaciones de firmware, lo que representa una mejora significativa a la seguridad de la red”, agregó.
Cuando te encuentras con este tipo de vulnerabilidades, estas son dos preguntas clave. La primera es que alcance tiene y, el segundo, si hay uno parche para arreglar.
En cuanto a la ocasión, Gianatiempo explicó: “En realidad, más de 500.000 enrutadores DrayTek están disponibles en Internet, según el análisis de la plataforma Shodan. Estos dispositivos son potencialmente vulnerables porque, para aprovechar este fallo de seguridad, es necesario autenticarlos.
«Debido a esto, hay una oportunidad importante debido a diversos factores: la gran cantidad de dispositivos potencialmente vulnerables; la frecuencia con la que el contraseñas predefinidas no hay hilos modificados por los usuarios; la capacidad de combinar esta vulnerabilidad con otras reportadas anteriormente para obtener acceso sin credenciales a enrutadores deshabilitados; y la complejidad y falta de transparencia del sistema operativo (RTOS), que puede enmascarar nuevas vulnerabilidades que permitan el acceso no autorizado. Estos factores facilitan que personas con malas intenciones descubran y aprovechen este error para controlar estos dispositivos de forma persistente y remota”, añadió.
Respecto a la mitigación, agregamos a los especialistas: “En Faraday deseamos, como prueba de conceptoun módulo para el sistema operativo del router que ayuda a verificar que el resto de módulos instalados en el dispositivo son legítimos y creados por el fabricante. Este módulo compara los módulos instalados con una base de datos creada previamente para asegurar que su autenticidad esté garantizada”.
“El objetivo de esta prueba de concepto es demostrar que es posible mejorar observabilidad y detección de amenazas en estos dispositivos, que actualmente no habilita adecuadamente. La solución ideal será que el fabricante implemente una medida integral en el sistema operativo para abordar de forma completa esta vulnerabilidad y detectar su explotación, aumentando así la seguridad y reduciendo el riesgo de ataques persistentes”, afirmó Aznarez.
DrayTek ha desarrollado un pergamino pagahora solucionamos estos problemas, Para los que tengan estos equipos deberían actualizarlos.
Bonus track DEF CON: Pokémon y la “insignia”
A lo largo de los años, DEF ha tenido equipos dedicados a procesar las credenciales relacionadas con la compra de entrada ($460 en vigor, $480 con tarjetas). La particularidad es que, a diferencia de un mapa tradicional, existe un tratarsus de un “Insignia” interactiva.
En este caso se trata de una computadora pequeña que tiene un juego incluido al estilo Pokémon, el cual también sirve como mapa del inmenso Centro de Convenciones de Las Vegas.
No queda mucho tiempo para que los distintos ayudantes se pongan a hackear: «Jota» Tomás y Nacho Nieva, dos desarrolladores argentinos, instalaron Pokémon, en parte motivados por la similitud con el juego DEF CON.
“En el caso sabemos que la placa tiene memoria SD y que el juego diseñado en DEF CON llegó a un emulador de Game Boy llamado uGB. Como el emulador te permite elegir otro juego, lo haremos de inmediato. Conectamos el emulador al ordenador. «Y tenemos varios archivos, bandas sonoras y más, pero tenemos lo que nos interesa: explorar un Pokémon», agregó al medio «Jota».
“Bajamos la ROM y ahí la carga, además de bajar la del juego de DEF CON para minería de datos y saber quesos secrets soculta”, declaró, mostrando cómo jugar al juego de Game Freak (Nintendo) lanzado en el año 2000.
