Una campaña de cryptojacking afecta a más de 200.000 routers MikroTik
Un grupo de investigadores de SpiderLabs (Trustwave) ha encontrado una nueva botnet formada por más de 200.000 routers MikroTik, que inyecta una serie de scripts de Coinhive para minar criptomonedas utilizando los dispositivos de los usuarios conectados a estos routers (criptojacking). Esta botnet se inició en unos 72.000 routers en Brasil, aunque en muy poco tiempo empezó a infectar dispositivos de todo el mundo hasta superar la cifra de los 200.000 routers comprometidos.
El atacante aprovechó una vulnerabilidad 0-day en el componente Winbox de los routers que se descubrió en abril. MikroTik parcheó este exploit en menos de un día (RouterOS v6.42.1 y v6.43rc4), pero esto no quiere decir que los usuarios hayan aplicado el parche, por lo que es muy probable que la cifra de afectados se incremente.
Para solucionar este fallo de seguridad se debe instalar esta actualización, aunque para mayor seguridad, se pueden restablecer los valores de fábrica del router de manera que, en caso de haber sido infectado, se elimine el exploit y, gracias a los parches, se evite que se vuelva a infectar.
Actualización 14/09/2018: Investigadores de la empresa china Netlab.360 descubrieron que de los aproximadamente de los 1.2 millones de routers MikroTik existentes, cerca de 370.000 aún siguen siendo vulnerables al exploit CVE-2018-14847 y que entre el 23 y el 24 de agosto eran más de 7.500 los routers comprometidos. Además, el 9 de septiembre, el investigador Troy Mursch a través de la herramienta Shodan, identificó más de 3.800 routers comprometidos, repartidos entre Brasil (2612), Argentina (480), Ecuador (214) y Colombia (120).
- 01/08/2018 trustwave.com Mass MikroTik Router Infection – First we cryptojack Brazil, then we take the World?
- 02/08/2018 redeszone.net 170.000 routers MikroTik convertidos en una botnet y utilizados para minar criptomonedas por un fallo 0-day
- 03/08/2018 welivesecurity.com Campaña de criptojacking afecta a más de 200.000 routers MikroTik: Brasil el país más perjudicado
- 13/09/2018 welivesecurity.com Siguen aprovechándose de routers MikroTik desactualizados para campañas de criptojacking