{"id":2016,"date":"2018-11-19T18:58:40","date_gmt":"2018-11-19T18:58:40","guid":{"rendered":"https:\/\/warp.lacnic.net\/uncategorized\/bcmpupnp_hunter-botnet-router-hogareno-transformados-en-spammers"},"modified":"2023-06-07T16:34:28","modified_gmt":"2023-06-07T13:34:28","slug":"bcmpupnp_hunter-botnet-router-hogareno-transformados-en-spammers","status":"publish","type":"post","link":"https:\/\/csirt.lacnic.net\/en\/news\/bcmpupnp_hunter-botnet-router-hogareno-transformados-en-spammers","title":{"rendered":"BCMPUPnP_Hunter Botnet – router hogare\u00f1os transformados en spammers"},"content":{"rendered":"

\"\"<\/p>\n

Una botnet recientemente descubierta ha tomado el control de 100,000 enrutadores dom\u00e9sticos de varios fabricantes, al explotar una vulnerabilidad cr\u00edtica que ha permanecido sin atenci\u00f3n por m\u00e1s de cinco a\u00f1os despu\u00e9s de que sali\u00f3 a la luz.<\/p>\n

Los investigadores de Netlab 360, que informaron sobre la infecci\u00f3n masiva a fines de la semana pasada, han apodado la botnet BCMUPnP_Hunter. El nombre es una referencia a una implementaci\u00f3n defectuosa del protocolo Universal Plug and Play integrado en los conjuntos de chips Broadcom utilizados en dispositivos vulnerables. Un aviso publicado en enero de 2013 advirti\u00f3 que la falla cr\u00edtica afectaba a los enrutadores de una serie de fabricantes, incluidos Broadcom, Asus, Cisco, TP-Link, Zyxel, D-Link, Netgear y US Robotics. El hallazgo de Netlab 360 sugiere que muchos dispositivos vulnerables pod\u00edan ejecutarse sin haber sido parcheados o bloqueados por otros medios.<\/p>\n

Una vez que est\u00e1n bajo el control de los atacantes, los enrutadores se conectan a una variedad de servicios de correo electr\u00f3nico conocidos, incluidos Outlook, Hotmail y Yahoo Mail. Esta es una clara indicaci\u00f3n de que los dispositivos infectados se est\u00e1n utilizando para enviar correo no deseado u otros tipos de correo malicioso. De acuerdo con Netlab 360, el c\u00f3digo que infecta los dispositivos con BCMUPnP_Hunter requiere una variedad de pasos que hacen que el seguimiento de su progreso sea un desaf\u00edo. Como explic\u00f3 el post de la semana pasada:<\/p>\n

\n“The interaction between the botnet and the potential target takes multiple steps; it starts with tcp port 5431 destination scan, then moving on to check target’s UDP port 1900 and wait[ing] for the target to send the proper vulnerable URL. After getting the proper URL, it takes another 4 packet exchanges for the attacker to figure out where the shellcode’s execution start address in memory is so a right exploit payload can be crafted and fed to the target.<\/em><\/p>\n


\n<\/em>At the beginning we were not able to capture a valid sample, as the honeypot needs to be able to simulate the above scenarios. We had to tweak and customize our honeypot quite a few times, then finally in October, we got it right and successfully tricked the botnet to send us the sample (we call it BCMUPnP_Hunter).”<\/em><\/p><\/blockquote>\n

Las personas que usan cualquiera de los 116 modelos enumerados por Netlab 360 deben verificar inmediatamente si hay un parche disponible. En el caso de que no haya una soluci\u00f3n disponible, el dispositivo vulnerable debe ser reemplazado. Adem\u00e1s, deber\u00edan considerar la posibilidad de deshabilitar UPnP.
\nNo est\u00e1 claro a\u00fan, c\u00f3mo se pueden desinfectar los enrutadores infectados con BCMUPnP_Hunter. Por lo general, basta con reiniciar un enrutador comprometido.<\/p>\n

M\u00e1s Informaci\u00f3n<\/h3>\n