Una campaña de cryptojacking afecta a más de 200.000 routers MikroTik

Un grupo de investigadores de SpiderLabs (Trustwave) ha encontrado una nueva botnet formada por más de 200.000 routers MikroTik, que inyecta una serie de scripts de Coinhive para minar criptomonedas utilizando los dispositivos de los usuarios conectados a estos routers (criptojacking). Esta botnet se inició en unos 72.000 routers en Brasil, aunque en muy poco tiempo empezó a infectar dispositivos de todo el mundo hasta superar la cifra de los 200.000 routers comprometidos.

El atacante aprovechó una vulnerabilidad 0-day en el componente Winbox de los routers que se descubrió en abril. MikroTik parcheó este exploit en menos de un día (RouterOS v6.42.1 y v6.43rc4), pero esto no quiere decir que los usuarios hayan aplicado el parche, por lo que es muy probable que la cifra de afectados se incremente.

Para solucionar este fallo de seguridad se debe instalar esta actualización, aunque para mayor seguridad, se pueden restablecer los valores de fábrica del router de manera que, en caso de haber sido infectado, se elimine el exploit y, gracias a los parches, se evite que se vuelva a infectar.

Actualización 14/09/2018: Investigadores de la empresa china Netlab.360 descubrieron que de los aproximadamente de los 1.2 millones de routers MikroTik existentes, cerca de 370.000 aún siguen siendo vulnerables al exploit CVE-2018-14847 y que entre el 23 y el 24 de agosto eran más de 7.500 los routers comprometidos. Además, el 9 de septiembre, el investigador Troy Mursch a través de la herramienta Shodan, identificó más de 3.800 routers comprometidos, repartidos entre Brasil (2612), Argentina (480), Ecuador (214) y Colombia (120).