Check Point, el mayor proveedor mundial especializado en seguridad, alerta sobre una nueva vulnerabilidad de día cero (- Cyberpedia: ¿Qué es un ataque Zero Day? -) que afecta a los routers domésticos y empresariales de Huawei. En los últimos 10 años, el número de dispositivos conectados ha crecido hasta alcanzar cifras de más de 20.000 millones. Además, se han vuelto progresivamente más inteligentes. Sin embargo, los últimos descubrimientos de Check Point Research, el equipo de investigación de Check Point, muestran que aún existe mucho trabajo que hacer para que sean seguros.
Intento de exploit a los routers
El 23 de noviembre, los analistas de Check Point identificaron numerosos ataques que explotaban una vulnerabilidad desconocida en los routers HG532 de Huawei de todo el mundo, sobre todo en EEUU, Italia, Alemania y Egipto. El objetivo era crear una nueva variante de la botnet Mirai, la red maliciosa que causó grandes daños al ecosistema empresarial a nivel mundial en 2016.
La identidad del autor fue en principio muy difícil de descubrir, ya que se ocultó detrás de un impresionante volumen de tráfico, un servidor desconocido de Zero Day y múltiples direcciones de ataque. Finalmente, Check Point descubrió que el autor potencial era un hacker amateur que utiliza el apodo de «Nexus Zeta». El cibercriminal había participado recientemente y de forma activa en foros que buscaban asesoramiento sobre cómo construir botnets.
Cómo funciona
Huawei pretende hacer que su enrutador Home Gateway sea simple y sin fisuras para integrarse con redes domésticas y corporativas. Para ello aplica el protocolo Universal Plug and Play (UPnP) a través del estándar de informe técnico TR-064.
Diseñado para la configuración de red local, TR-064 en la práctica permite a un ingeniero implementar la configuración básica del dispositivo, las actualizaciones de firmware y más desde dentro de la red interna.
Sin embargo, desde Check Point descubrieron que la implementación TR-064 en dispositivos Huawei desafortunadamente permitía a los atacantes remotos ejecutar comandos arbitrarios en el dispositivo. En este caso, fue el malware OKIRU / SATORI el que se estaba inyectando en un intento de crear una nueva variante de la botnet Mirai.
