ESPAÑA .Decenas de modelos de routers de operadores tienen graves fallos de seguridad

Un grupo de investigadores de seguridad que están haciendo el Máster de Seguridad de la Universidad Europea de Madrid han descubierto graves vulnerabilidades en una gran cantidad de routers de operadores. Entre los routers afectados se encuentran fabricantes tan conocidos como Comtrend, Observa Telecom, Huawei, Astoria y Amper entre otros muchos.

Los principales fallos de seguridad que han descubierto son vulnerabilidades relacionadas con XSS (Cross Site Scripting) persistente, XSS no autenticado, CSRF (Cross Site Request Forgery), denegación de servicio, escalada de privilegios, puertas traseras, bypass de la autenticación y también el conocido fallo de UPnP que se descubrió hace algunos años y que la mayoría de fabricantes no han parcheado en las últimas versiones de firmware disponibles. Todos y cada uno de estos fallos de seguridad se han probado físicamente con los equipos.

Observa Telecom: Uno de los fabricantes más afectados

El fabricante de routers Observa Telecom es uno de los más afectados ya que no sólo tiene cuatro equipos vulnerables, sino que en muchos de ellos hay varios fallos graves de seguridad. Los modelos afectados son los siguientes:

1. Observa Telecom AW4062
2. Observa Telecom RTA01N
3. Observa Telecom Home Station BHS-RTA
4. Observa Telecom VH4032N

Los tres primeros modelos los ha proporcionado el operador Movistar a sus clientes para sus modalidades de ADSL/VDSL, el cuarto modelo lo ha proporcionado el operador Vodafone.

En el caso del AW4062 uno de los fallos de seguridad es el de XSS en varios menús de su configuración, esto podría hacer que un atacante ejecute comandos arbitrarios para poner en riesgo nuestra privacidad. También se ha encontrado una vulnerabilidad CSRF, una escalada de privilegios y una denegación de servicio. En el caso del RTA01N, además de los anteriores fallos también se ha encontrado una puerta trasera con un usuario de administrador oculto y también el conocido fallo del UPnP.

Comtrend: Otro fabricantes con múltiples routers afectados

El fabricante Comtrend es conocido por proporcionar los routers tanto a Movistar como Jazztel durante años. De hecho , los modelos afectados son los siguientes:

1. Comtrend WAP-5813n (para FTTH)
2. Comtrend CT-5365
3. Comtrend AR-5387un (Jazztel ADSL)
4. Comtrend VG-8050 (para FTTH)
5. Comtrend 536+

El primer es el que Movistar proporciona a sus clientes con FTTH, este router es vulnerable a un XSS persistente, CSRF y también a la vulnerabilidad de UPnP. El VG-8050 también es para FTTH de Movistar y este equipo es vulnerable tanto a un XSS sin autenticación como a un XSS persistente. El resto de modelos son antiguos de ADSL2+ tanto de Movistar como de Jazztel.

Huawei tampoco se libra

• Los modelos de routers Huawei HG553 y HG556a de Vodafone también están afectados por problemas de seguridad, en ambos modelos existe un fallo que permite a un atacante externo sin autenticación entrar en los archivos del USB conectado al router, además también se podría evadir la autenticación para entrar en el router y resetearlo para fijar los credenciales por defecto. En estos modelos tampoco falta un XSS persistente, un CSRF y el fallo del UPnP.

Más información

• Detalles de vulnerabilidades descubiertas y los fabricantes afectados https://packetstormsecurity.com/files/132074/22-SOHO-Router-Vulnerabilities-Discovered.html

Fuente: Redeszone.net

ROUTERCHECK. Comprueba la seguridad de tu router desde Android

Si queremos comprobar hasta qué punto es seguro nuestro router podemos utilizar la aplicación RouterCheck

A la hora de configurar un router es recomendable cambiar el usuario y la contraseña por defecto para entrar en el administrador de manera que si alguien consigue acceder a nuestra red no pueda modificar los valores del router a su gusto. Igualmente es recomendable cambiar la contraseña del Wi-FI (configurándola como WPA2 AES), desactivar el WPS y aplicar, por ejemplo, una lista blanca en el filtrado de MAC para evitar que dispositivos no autorizados puedan conectarse al router. 

RouterCheck es una aplicación gratuita analiza automáticamente diferentes aspectos de nuestro router y nos dice si su configuración es correcta y está correctamente protegido o lo de contrario es vulnerable ante diferentes ataques potenciales de red. También analiza posibles vulnerabilidades conocidas que dependen directamente del firmware del fabricante y no de una configuración por nuestra parte.
Pasos a seguir para la instalación de RouterCheck

1. Lo primero que debemos hacer es descargar RouterCheck desde la Play Store e instalarla en nuestro smartphone o tablet. Una vez instalada la ejecutamos y veremos una ventana similar a la siguiente.
2. Para empezar a analizar nuestro router lo único que tenemos que hacer es pulsar sobre el botón “Check My Router” y elegiremos a qué entorno pertenece el router (casa, trabajo, cafetería, etc).
3. En nuestro caso el router es el de casa, por lo que seleccionamos “Home” e indicamos a RouterCheck que tenemos permiso del dueño para auditar su router.

Comenzará el análisis del router.

• Esperamos a que finalice el proceso (no debería tardar mucho) y podremos ver un resumen con todo lo analizado y con las debilidades de nuestro router.
• Si pulsamos sobre alguna de las vulnerabilidades se abrirá la base de datos de RouterCheck donde nos explicará qué genera dicha vulnerabilidad y nos dará pistas sobre cómo solucionarla.

RouterCheck es una potente herramienta, sencilla de utilizar y totalmente gratuita que  permite controlar en todo momento la seguridad de nuestro router y la privacidad de nuestras conexiones frente a posibles amenazas.

Fuente: gHacks

MALWARE. El gusano "Moose" ataca routers y dispositivos Linux

 Los investigadores de seguridad de We Live Security han estado investigando el funcionamiento de una nueva amenaza, Moose, creada especialmente para infectar routers basados en Linux alrededor de todo el mundo.

El principal objetivo del gusano Moose son los routers que funcionan con un sistema basado en el kernel de Linux (OpenWRT, DD-WRT, Tomato y muchos firmwares privativos de fabricantes) aunque también es capaz de infectar cualquier otro dispositivo que utilice un sistema operativo basado en Linux que pueda encontrar en su camino como smartphones, dispositivos DVR, ordenadores, cámaras IP, etc.

Moose se distribuye como un ejecutable convencional para Linux en forma de binario ELF. Este gusano crea automáticamente 36 procesos en los dispositivos que infecta. La mayoría de estos procesos están diseñados especialmente para infectar a otros dispositivos que se conecten a la misma red y poder tener así una mayor actividad.

Los procesos que no son utilizados para infectar otros equipos se centran principalmente en el robo de paquetes y cookies HTTP no cifradas que puedan contener información personal sobre los usuarios como datos bancarios, credenciales de acceso, etc. Este gusano también conecta con un servidor Proxy para visitar cuentas sociales o cargar vídeos de YouTube y otras plataformas y así obtener remuneración económica, aumentar el número de visitar y ganar protagonismo en estas redes sociales.

Las principales páginas sociales que carga este malware a través del proxy son:

1. Fotki
2. Instagram
3. Microsoft Live
4. Soundcloud
5. Twitter
6. Vine
7. Yahoo
8. YouTube

Al día se pueden llegar a enviar más de 1500 solicitudes a las webs anteriores desde un router infectado. También secuestra las DNS del router y monitoriza así todas las conexiones que el usuario genera y que intentan salir a Internet, registrándose todas ellas en el servidor remoto de control,

El malware analiza también la memoria del dispositivo infectado y es capaz de identificar y bloquear otras piezas de malware que puedan estar presentes en él de manera que garantice siempre el 100% de los recursos para él.

Cómo eliminar Moose de nuestro router y prevenir su infección

• Si ya hemos sido infectados por este gusano lo más recomendable de momento es resetear la configuración y cambiar la contraseña de acceso lo antes posible, sin embargo, es posible que el gusano haya cambiado algún aspecto del firmware y siga estando presente. Si es posible también debemos borrar y reinstalar el firmware por completo para garantizar su eliminación.
• Igualmente para evitar infectarnos debemos cambiar las contraseñas de nuestras principales redes sociales así como deshabilitar la administración remota del router a través de los protocolos SSH, Telnet, HTTP y HTTPS para que Moose no pueda comunicarse con su centro de control.

Fuente: We Live Security

ROUTERS D-LINK. Elevación de privilegios

Varios routers inalámbricos de D-Link son vulnerables a un escalado de privilegios mediante comandos HNAP sin privilegios, lo que permite la ejecución de código de forma arbitraria. La vulnerabilidad se ha catalogado de Importancia: 4 - Alta

Recursos afectados

1. Modelo DAP-1522, Versión del HW B1: Version 2.01B01 y anteriores
2. Modelo DIR-300, Versión del HW B1: Version 2.15B01 y anteriores
3. Modelo DIR-600, Versión del HW B1: Version 2.17B02 y anteriores
4. Modelo DIR-629, Versión del HW A1: Version 1.01 y anteriores
5. Modelo DIR-645, Versión del HW A1: Version 1.04B12 y anteriores
6. Modelo DIR-815, Versión del HW B1: Version 2.03B08 y anteriores
7. Modelo DIR-816L, Versión del HW A1: Version 1.00 y anteriores
8. Modelo DIR-816L, Versión del HW B1: Version 2.05B02 y anteriores
9. Modelo DIR-817LW, Versión del HW A1: Version 1.03B05 y anteriores
10. Modelo DIR-818L, Versión del HW A1: Version 1.04B03 y anteriores
11. Modelo DIR-818LW, Versión del HW B1: Version 2.03B01 y anteriores
12. Modelo DIR-820LW, Versión del HW B1: Version 2.01 y anteriores
13. Modelo DIR-850L, Versión del HW A1/B1: Version 1.09B06 (A1) y 2.03B01 (B1)anteriores
14. Modelo DIR-860L, Versión del HW A1/B1: 1.12B05 (A1) y 2.01B03 (B1)anteriores
15. Modelo DIR-865L, Versión del HW A1: Version 1.07B01 y anteriores
16. Modelo DIR-868L, Versión del HW A1: Version 1.10B03 y anteriores
17. Modelo DIR-880L, Versión del HW A1: Version 1.03b11 y anteriores
18. Modelo DIR-890L, Versión del HW A1: Version 1.06b01 y anteriores

Detalle e impacto de la vulnerabilidad

• Un atacante remoto puede enviar un comando HNAP sin privilegio como GetDeviceSettings y añadir posteriormente otro comando con el separador habitual "/". Este segundo comando se ejecuta de forma no autenticada y, además, se le enviará al Linux subyacente, lo que permite la ejecución de código de forma arbitraria.

Recomendación

Para cada modelo afectado se ha lanzado un parche.

• Modelo DAP-1522: 2.03.B01
• Modelo DIR-300: 2.06
• Modelo DIR-600: 2.06
• Modelo DIR-629: 1.03.B01_CN
• Modelo DIR-645: 1.05.B01
• Modelo DIR-815: 2.04.B01
• Modelo DIR-816L (A1): 1.01.B01
• Modelo DIR-816L (B1): 2.06.B01
• Modelo DIR-817LW: 1.04.B01
• Modelo DIR-818L: 1.05.B01_EN
• Modelo DIR-818LW: 2.05.B01
• Modelo DIR-820LW: 2.03.B01_TC
• Modelo DIR-850L, Versión del HW A1/B1: A1: 1.13.B01 B1: 2.05.B01_WW
• Modelo DIR-860L: A1: 1.10..B04 B1: 2.03.B03
• Modelo DIR-865L: FW: 1.08.B01 Facebook Wi-Fi FW: 1.07.FB.B01
• Modelo DIR-868L: FW: 1.10.B04W Facebook Wi-Fi FW: 1.10.B04
• Modelo DIR-880L: FW: 1.04.B01 Facebook Wi-Fi FW: 1.04.B01_FB
• Modelo DIR-890L: 1.06.B04

Más información

• D-Link Router : HNAP Privilege Escalation - Command Injection  http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10054

Fuente: INCIBE

ROUTERS BELKIN . El PIN WPS se genera de forma insegura y es vulnerable

Un investigador de seguridad ha descubierto cómo el fabrican Belkin genera el PIN WPS de sus routers inalámbricos. Con la introducción del Wi-Fi Protected Setup, se dio la posibilidad de introducir un número PIN de 8 dígitos en lugar de la contraseña WPA que debería ser de más caracteres, de esta forma se facilita la conexión a la red inalámbrica.

Sin embargo, además de todas las vulnerabilidades del WPS que se conocen hasta el momento, el fabricante de routers Belkin tiene un gran número de equipos que generan el número PIN a través de la MAC inalámbrica del router y del número de serie del propio router.

Aunque la MAC inalámbrica es pública y con cualquier programa para escanear redes inalámbricas se puede obtener (recomendado Acrylic WiFi para Windows y Airodump-ng para Linux), el número de serie del router no debería ser fácil conseguirlo a no ser que se tenga acceso físico al router. Sin embargo, Belkin proporciona el número de serie de dicho router como respuesta a una petición 802.11, por lo que tenemos los dos ingredientes para conseguir el PIN WPS (la dirección MAC inalámbrica y el número de serie del router). Por tanto se recomienda que se cambie el PIN WPS por defecto del router para evitar este grave fallo al generar el número PIN.

Arcadyan que es realmente el fabricante original del router es el que tiene este problema específico, por lo que además de muchos productos Belkin afectados, es muy posible que otros fabricantes también estén afectados por este grave fallo. Los routers Belkin afectados son los siguientes:

F9K1001v4, F9K1001v5, F9K1002v1, F9K1002v2, F9K1002v5, F9K1103v1, F9K1112v1, F9K1113v1, F9K1105v1, F6D4230-4v2, F6D4230-4v3, F7D2301v1, F7D1301v1, F5D7234-4v3, F5D7234- 4v4, F5D7234-4v5, F5D8233-4v1, F5D8233-4v3 y F5D9231-4v1

Recomendación

• Os recomendamos visitar el blog /dev/ttyS0 donde encontraréis todos los detalles sobre este descubrimiento y también una completa prueba de concepto para explotar esta vulnerabilidad en nuestros routers.

Fuente: Redeszone.net

ROUTERS 4G. Analisis de los mejores para las vacaciones

Teniendo en cuenta la dependencia que tenemos de la tecnología a más de uno se le hará complicado estar en el apartamento o casa de veraneo sin disponer de acceso a Internet. Para evitar quedarte desconectado presta atención a los 3 routers 4G siguientes.

También hay que tener muy cuenta para qué queremos el dispositivo, ya que de los tres que os vamos a hablar solo uno es portátil, es decir, posee una batería integrada que permite al usuario llevárselo a cualquier lugar.

1. ASUS 4G-N12 N300.- Se trata de un router que no es portátil, por lo tanto, necesitaremos conectarlo a la corriente. Además de los tres puertos Fast Ethernet, este router también posee una conexión Wi-Fi N que permite alcanzar hasta 300 Mbps haciendo uso de la banda de los 2.4 GHz y el uso del ancho de banda del canal de los 40 MHz. Además, hay que contar con que el router posee un firmware muy personalizable, permitiendo por ejemplo limitar el consumo de datos y configurar más aspectos a gusto del usuario. El precio que hay que pagar es de 179 euros.
2. TP-LINK M7350.- Este router 4G permite disfrutar de hasta 150 Mbps de bajada y 50 Mbps de subida haciendo uso de la tecnología 4G. A diferencia del anterior este sí que es portátil, con una batería que permite hasta diez horas de uso, permitiendo realizar la carga de esta utilizando un cable USB y conectándolo a un ordenador. Gracias a la pantalla LCD que posee el usuario podrá acceder de forma sencilla a cualquier opción del firmware. Hay que añadir que posee una ranura micro-SD que permite compartir contenidos haciendo uso de la conexión Wi-Fi N con la que se ha equipado este router. Actualmente se puede adquirir por menos de 160 euros.
3. D-Link DWR-921.- Se trata de un router que al igual que el primero necesitar estar conectado a una fuente de corriente eléctrica. Permite alcanzar hasta 100 Mbps de bajada y 50 Mbps de subida y es compatible con las bandas de 800/900/1800/2600 MHz. La conexión Wi-Fi N permitiría alcanzar los 150 Mbps y permitiría conectar hasta 4 dispositivos gracias a los 4 puertos Fast Ethernet disponibles. Se trata del equipo más barato de los tres, ya que en algunas tiendas se puede conseguir por 150 euros.

Conclusiones

• De los tres equipos que hemos visto se pueden sacar dos conclusiones claras: si lo que quieres es movilidad y llevarte la conexión a Internet a la playa, parque o jardín la mejor opción es el TP-LINK. De lo contrario, si lo que quieres es un router de sobremesa y disponer de una conexión Wi-Fi buena y con la posibilidad de conectar equipos vía cable entonces los equipos más apropiados son el D-Link y el ASUS.

Fuente: redeszone.net

BACKDOOR. Puerta trasera en los firmwares de más de 200.000 routers por todo el mundo

Se ha descubierto que el firmware de más de 10 fabricantes de routers incorporan el mismo backdoor que permitiría iniciar sesión en la web de administración del router de forma fácil y rápida, consiguiendo el control total del mismo. 

Este backdoor se encontró de casualidad ya que los autores de este descubrimiento tuvieron un problema extraño con su router y decidieron cargar un firmware de código abierto, la actualización de este firmware falló y se pusieron a investigar.

En esta investigación realizaron ingeniería inversa del firmware del router que ellos estaban utilizando, y encontraron un backdoor con los credenciales de usuario y contraseña “super”. Durante este descubrimiento, miraron el firmware de otros fabricantes para comprobar si este mismo backdoor también se encontraban en ellos, y descubrieron que más de 10 fabricantes lo incorporaban en sus firmwares. Algunos de los fabricantes afectados son Digicom, Alpha Network, Pro-Link, Planet Networks y el conocido fabricante TRENDnet entre otros muchos.

En la página web donde se ha publicado esta investigación tenéis los modelos de routers afectados por este backdoor, se recomienda a los propietarios de estos equipos deshabilitar la gestión remota del router para evitar que un atacante remoto pueda acceder. Actualmente no hay ninguna forma de cambiar los credenciales de este segundo usuario “super”, ni el usuario ni tampoco la contraseña. Otra recomendación es que si vuestro router es compatible con el firmware OpenWRT uséis este firmware de código abierto.

Actualmente hay más de 200.000 routers expuestos a este backdoor en Internet, sin contar con los que no tienen el acceso remoto habilitado que también están afectados aunque no son vulnerables.

Cualquier atacante que tenga acceso podría modificar los servidores DNS que utiliza el router y comprometer los PCs de la red interna, en el siguiente vídeo se pueden ver todos los detalles:

http://www.youtube.com/watch?v=rWjlRw5imeo

Más información 

• Blog con detalles sobre el backdoor. http://blog.ensolnepal.com/router_backdoor/

Fuente: Redeszone.net

TELEFONICA. Gran número de sus routers utilizan claves SSH repetidas

En el momento en que nos conectamos a la red una gran cantidad de información sobre nuestros dispositivos es monitorizada y analizada por diferentes plataformas. En condiciones normales esto no supone ningún problema ya que las medidas de seguridad deberían ser personalizadas y únicas, sin embargo, hace algunas horas se ha podido conocer un hecho que compromete a millones de usuarios de Internet, especialmente a aquellos que operan a través de Telefónica.

Desde Shodan Blog han lanzado una técnica llamada SSH Revamp que permite conocer todos los detalles de un servidor SSH simplemente lanzando un intento de conexión, han podido detectar un fallo de seguridad muy importante: un gran número de claves SSH se repite masivamente por Internet. Analizando las huellas y realizando una búsqueda masiva a través de la plataforma Shodan, se ha podido comprobar que la mayor parte de los routers que utilizan estas claves pertenecen a Telefónica.

Podemos ver una lista con las claves SSH más utilizadas en los siguientes repositorios de GitHub:

1. SSH-badkeys de Hmoore  https://github.com/rapid7/ssh-badkeys
2. Las 1000 claves SSH más repetidas  https://gist.github.com/achillean/07f7f1e6b0e6e113a33c

¿Qué podemos hacer para protegernos de ataques SSH contra los routers de Telefónica?

• Generalmente las opciones están muy limitadas ya que los routers de las compañías están limitados en funciones y en la mayoría de los casos no se pueden modificar ciertos aspectos, especialmente el servidor SSH que es el que utilizan las compañías para conectarse de forma remota al router cuando llamamos al SAT.
• En el caso de que nuestro router permita configurar el apartado del servidor SSH lo más recomendable es desactivarlo o, si hacemos uso de él, cambiar la configuración por defecto (usuario, contraseña, etc) para evitar que terceras personas no autorizadas puedan conectarse de forma remota a nuestra red. Igualmente es recomendable proteger todos los demás servidores que podamos tener en nuestra red local para evitar que se pueda pasar desde el SSH del router a nuestro PC y esperar a que Telefónica lance una actualización masiva del firmware en el que se modifique este fallo de seguridad y se pueda generar una clave aleatoria, por ejemplo, utilizando la MAC del dispositivo, siendo así todas ellas diferentes.
• Igualmente también es recomendable cambiar el router que tenemos en nuestra casa por otro independiente de la compañía que, aparte de ofrecer un mejor rendimiento y mayor personalización, también brinda una mejor seguridad en todos los aspectos, por ejemplo, en el servidor SSH.

Fuente: Enrique de la Hoz

MOVISTAR. Grave fallo de seguridad en los routers ADB Pirelli P.DGA4001N

El operador Movistar proporciona a sus clientes en España el router inalámbrico ADB BroadBand Pirelli ADSL2/2+ Wireless Router P.DGA4001N, es uno de los que Movistar equipa a sus clientes que contratan ADSL, es un router con Wi-Fi N hasta 300Mbps y cuatro puertos Fast-Ethernet. Hoy se ha dado a conocer un grave fallo de seguridad que podría permitir que cualquiera entre al router de forma remota sin necesidad de autenticación.

Eduardo Novella ha descubierto esta grave vulnerabilidad en este modelo de router y seguidamente les  explicamos en detalle en qué consiste y cómo se puede explotar este fallo de vuestros propios equipos para comprobar si estáis afectados.

• Router afectado: ADB BroadBand Pirelli ADSL2/2+ Wireless Router P.DGA4001N
• Firmware del router probado: PDG_TEF_SP_4.06L.6
• CVE asociado a la vulnerabilidad: CVE-2015-0554

El router HomeStation de Movistar desarrollado por el fabricante Pirelli tiene un grave fallo de seguridad que permite leer código HTML desde Internet, es decir, con tan sólo conocer la IP pública de la víctima, y es que el router no incorpora ningún tipo de autenticación ni protección adicional para impedir la extracción de información delicada, como por ejemplo el SSID de la conexión, PIN WPS, clave WPA y otra mucha información.

Riesgos: Lectura de información delicada y reinicio remoto del router

Los usuarios que tengan este router están corriendo un gran riesgo, y es que cualquiera podría leer información delicada guardada en el router, basta con hacer un CURL a la dirección IP pública del objetivo y a continuación poner el fichero que queramos leer.

Lectura del SSID del router:

curl -s http://${IP_ADDRESS}/wlsecurity.html | grep -i "WLAN_"

Lectura de la clave WPA del router:

curl -s http://${IP_ADDRESS}/wlsecurity.html | grep -i "var wpapskkey"

Lectura del PIN WPS:

curl -s http://${IP_ADDRESS}/wlsecurity.html | grep -i "var WscDevPin"

Y no sólo podemos hacer esto, ya que también podríamos reiniciar el router de la víctima de forma remota, y por tanto, hacer una denegación de servicio contra nuestro objetivo.

Conclusiones

• En este enlace podéis ver todos los ficheros .html que se pueden ver fácilmente en el ADB Pirelli P.DGA4001N de Movistar. Como habéis podido ver, esta vulnerabilidad se puede explotar de forma remota, un cibercriminal podría realizar un seguimiento de nuestra red e incluso incorporarla a una botnet sin nosotros saber nada. 
• Es necesario que el fabricante del router ADB Pirelli P.DGA4001N y Movistar lancen cuanto antes una actualización para corregir este grave fallo de seguridad. Os recomendamos acceder a este enlace donde encontraréis todos los detalles, asimismo también podéis entrar en el foro de Movistar en ADSLZone.

Fuente: Redeszone.net

VULNERABILIDADES. Descubierta grave vulnerabilidad en algunos routers de Asus

Un especialista en seguridad informática ha localizado una importante vulnerabilidad en el firmware de varios modelos de routers de la empresa taiwanesa Asus.

Joshua Drake, investigador experto en temas de seguridad, ha detectado una vulnerabilidad que afecta a todas las versiones del firmware de los routers de Asus de modelos como el RT-AC66U y el RT-N66U.

Ese agujero hace que los routers sean vulnerables frente a ataques, y además se trata de un problema que no pueden arreglar los usuarios, que deberán esperar a que se lance el correspondiente parche.

De momento la única solución que se ha encontrado al problema está en deshabilitar el servicio infosvr, algo que habría realizar cada vez que se reinicia el router, informan en ZDNet.

Según comenta Drake, el defecto en el firmware permite a los atacantes que estén en la misma red tomar el control administrativo del router sin que necesiten contraseña para ello.

Lo cierto es que para los usuarios que trabajan en las redes privadas de su hogar las probabilidades de problemas son mínimas, pero cuando se trata de oficinas y puntos de Wi-Fi pública, el riesgo aumenta.

Fuente: Silicon week.es

AMPED WIRELESS. Lanza un router y un repetidor Wi-Fi con pantalla táctil

El fabricante Amped Wireless ha lanzado al mercado dos nuevos equipos con pantalla táctil. Anteriormente el fabricante puso a la venta el Amped Wireless TAP-EX, un repetidor universal con Wi-Fi N hasta 300Mbps en la banda de 2.4GHz. Ahora se ha aventurado a lanzar un router con Wi-Fi AC y también otro repetidor universal de Wi-Fi utilizando la última tecnología inalámbrica.

Amped Wireless TAP-R2

• Este router es doble banda simultánea con Wi-Fi AC, podremos conseguir hasta 300Mbps en la banda de 2.4GHz gracias a sus dos antenas en configuración MIMO 2T2R. Respecto a la banda de 5GHz, incorpora una única antena en configuración MIMO 1T1R por lo que conseguiremos hasta 433Mbps gracias a la tecnología Wi-Fi AC. Aunque el router tenga una única antena externa, esta es dual por lo que funciona tanto en 2.4GHz como en 5GHz, además para la banda de 2.4GHz también se usa una antena interna de alta ganancia. Este equipo es capaz de transmitir a una potencia de 800mW e incorpora WPS a través de la pantalla táctil.
• Este router tiene un puerto Fast-Ethernet para la WAN y también dos puertos Fast-Ethernet para la LAN, asimismo también incorpora un puerto USB 2.0.
• En su página web oficial podéis ver en detalle los menús táctiles que incorpora este equipo. Este nuevo router se venderá a un precio de unos 120€ a partir de febrero.Amped Wireless TAP-EX2
• Este nuevo repetidor Wi-Fi tiene las mismas características que su antecesor pero incorpora doble banda simultánea con Wi-Fi AC. Podremos conseguir hasta 300Mbps en la banda de 2.4GHz y hasta 433Mbps en la banda de 5GHz gracias a la tecnología Wi-Fi AC. También incorpora tres puertos Ethernet, en este caso para la LAN ya que no tendremos que reservar un puerto para la WAN de Internet. Asimismo también tiene un puerto USB 2.0, como el modelo anterior.
• Se desconoce cuándo se empezará a vender este nuevo modelo de repetidor, pero según el fabricante será en el primer trimestre del año 2015.

Más información

• Web fabricante  http://www.ampedwireless.com/products/tap-r2.html

Fuente: Redeszone.net

VULNERABILIDAD. Unos 12 millones de 'routers' domésticos afectados

La compañía de seguridad informática Check Point informa de la detección de una vulnerabilidad crítica -aunque antigua- que afecta a al menos 12 millones de 'routers'.

Este error, que ha sido bautizado con el nombre de 'galleta de la desgracia' ('Misfortune Cookie'), "podría ser usado para tomar el control -con privilegios de administrador- de millones de 'routers' domésticos y de pymes", sostiene la compañía.

El 'software' afectado es "el programa de servidor web RomPager de AllegroSoft, que normalmente está embebido en el 'firmware' integrado en los dispositivos", afirma Check Point en una nota.

Así, la compañía ha detectado que este agujero en al menos una docena de millones de dispositivo "de diferentes modelos y fabricantes en todo el mundo", y que "podría llegar a permitir a un atacante tomar control del dispositivo y sus privilegios de administración".

Hasta 200 modelos de 'routers' sufren este agujero, de fabricantes y marcas como D-Link, Edimax, Huawei, TP-Link, ZTE, y ZyXEL,

Según Check Point, un atacante podría, a través de esta vulnerabilidad, "tomar el control de millones de routers de todo el mundo para controlar y robar datos de los dispositivos, cableados e inalámbricos, conectados a sus redes".

Es decir, ordenadores, teléfonos, impresoras, cámaras de seguridad o cualquier otro electrodoméstico conectado a la red a través de un 'router' comprometido podría terminar controlado remotamente por un posible atacante. No obstante, no se ha detectado ningún caso al respecto de momento.

Para cerrar el agujero de seguridad, es necesario instalar un parche para el 'firmware' del dispositivo. Algunos medios especializados sostienen que AllegroSoft arregló el agujero en su 'firmware' 2005, pero el código aún ha de ser corregido en millones de 'routers'. El error de programación data de 2002.

Check Point, que no ha revelado información sobre esta vulnerabilidad en profundidad por motivos obvios de seguridad, ha habilitado un sitio web de información sobre la 'galleta de la desgracia' que completa la información de este error.

Fuente: El Mundo.es

MOVISTAR FTTH. Puntos fuertes y débiles de los nuevos routers todo en uno de Movistar

Esta semana hemos conocido los dos nuevos routers que va a empezar a poner el operador Movistar a sus nuevos clientes de fibra óptica hasta el hogar. Estos nuevos routers se caracterizan por tener incorporada la ONT (punto de terminación óptico) en el propio router, y no separado como sucedía anteriormente y que facilitaba sustituir el router de Movistar por un router neutro con soporte para VLANs (802.1Q).

Características de los nuevos routers de MOVISTAR 

1. El primer router es el Telnet Triwave y sus principales características es que tiene la ONT incorporada en el router, un puerto RJ-11 para conectar teléfonos y tres puertos Gigabit Ethernet para la LAN. Adicionalmente incorpora Wi-Fi N con una velocidad de hasta 300Mbps en la banda de 2.4GHz gracias a sus dos antenas externas en configuración MIMO 2T2R. Por tanto, con este router tendremos un 2 en 1, la ONT y el router. Os recomendamos acceder a la página web oficial de Movistar donde encontraréis toda la información sobre este nuevo router.
2. El segundo router es el Telnet TriwaveSTB y sus principales características es que incorpora la ONT en el router, y adicionalmente también el decodificador de Movistar TV. Tiene un puerto RJ-11 para conectar teléfonos, tres puertos Gigabit Ethernet para la LAN y Wi-Fi N con una velocidad de hasta 300Mbps en la banda de 2.4GHz gracias a sus dos antenas externas en configuración MIMO 2T2R. Además, también tiene un puerto USB 2.0, una salida HDMI para conectar directamente nuestra TV al decodificador de Movistar TV, salida de audio digital y salida de AV. Os recomendamos acceder a la página web oficial de Movistar donde encontraréis toda la información sobre este nuevo router.

Antes de los routers “todo en uno”

• Antes de la comercialización de estos nuevos routers, la ONT y el router estaban separados, pudiendo sustituir fácilmente el Comtrend de Movistar por un router neutro compatible con 802.1Q como por ejemplo los ASUS, Mikrotik o los Ubiquiti. La sustitución por estos equipos permitía tener un gran rendimiento en la LAN y una mayor personalización de nuestra red local. En el caso de los ASUS, permitía obtener una gran velocidad Wi-Fi gracias a que los últimos routers de este fabricante incorporan doble banda simultánea con Wi-Fi AC. Además, este método también es totalmente compatible con Movistar TV, en el caso de los ASUS sólo a través del decodificador, y en el caso de los Mikrotik y Ubiquiti a través también de VLC en red local.

Con los routers “todo en uno”

• Actualmente los nuevos routers de Movistar permiten ponerlos en “monopuesto“, es decir, permite sacar una IP pública a través de un puerto LAN por lo que podríamos conectar detrás un router neutro de alto rendimiento, tal y como ocurre actualmente con otros operadores de cable como ONO. Sin embargo, ¿qué pasaría si Movistar decide actualizar el firmware y limitar esta posibilidad? Pues que no se podría colocar un router detrás sin tener doble NAT y todo lo que ello conlleva. Por tanto, si vas a ser usuario de Movistar FTTH y temes no poder utilizar tu router neutro, todavía no tienes de qué preocuparte ya que el firmware permite esta configuración. Lo que desconocemos aún es qué ocurre si ponemos el router en monopuesto y tenemos el servicio de Movistar TV.

Puntos Fuertes del “todo en uno”

• Para los usuarios que no necesitan mayor rendimiento en la red local y se conforman con lo que les ofrece Movistar, esto significa una grandísima noticia ya que no tendrán dos aparatos conectados sino uno sólo, de esta forma se ahorrarán mucho espacio. Si además tienen contratado Movistar TV y quieren tenerlo todo en el salón, también se beneficiarán de este 3 en 1 de Movistar ya que no tendrán tres aparatos (ONT + router + decodificador) sino uno sólo que hará todas las funciones.

Puntos Débiles del “todo en uno”

• El punto débil más importante es si Movistar decide limitar la funcionalidad del router y no permite ponerlo en modo monopuesto, ya que significaría el fin de los routers neutros, sin embargo, actualmente no ocurre esto por lo que no deberíamos preocupartes. Otro punto débil es que si el usuario quiere poner un router neutro, tendrá una ONT de un tamaño mucho más grande que el anterior, y en algunos casos los usuarios tienen en sus domicilios cajas de telecomunicaciones donde no cabrán.
• Sin embargo, el mayor problema viene con Movistar TV, ya que el decodificador se integrará en el propio router, y si está en modo monopuesto es muy probable que no funcione y se necesite un decodificador adicional. ¿Dónde se venden decodificadores para Movistar TV? En las tiendas no se vende y esto será un problema. Además si el router está en la caja de comunicaciones, deberemos tirar un cable HDMI hasta el salón ya que no se podrá enviar la señal por LAN.
• Por tanto, cada usuario tendrá diferentes necesidades y sería ideal que Movistar diese a elegir tanto la solución antigua como la nueva solución con routers todo en uno, de esta forma el cliente tendrá la libertad de montar su red como mejor le convenga.

Fuente: Resdeszone.net

TRENDnet TEG-082WS: Nuevo switch de 8 puertos Gigabit gestionable

El fabricante de dispositivos de networking TRENDnet tiene en su portfolio un nuevo switch gestionable con carcasa metálica. El nuevo modelo es el TRENDnet TEG-082WS y su principal característica es que tiene 8 puertos Gigabit Ethernet permitiendo los modos half-dúplex y también full dúplex, además incorpora 2 slots SFP.

Este nuevo switch gestionable TRENDnet TEG-082WS tiene 16Gbps de capacidad de switching, tiene una capacidad de buffer de 1MB, una tabla de direcciones MAC de hasta 16K entradas, soporta tramas jumbo de hasta 10K de tamaño y tiene una velocidad de reenvío de 11,9Mpps.

Al ser un switch gestionable, tiene soporte para VLANs y capacidad de crear hasta 256 grupos, además tiene soporte para Private VLAN y también para Voice VLAN. Otra característica importante es que tiene soporte para Link Aggregation con LACP, un avanzado QoS, multicast con IGMP Snooping por cada VLAN y también Port Mirroring.

En cuanto a la seguridad es capaz de autenticar a los usuarios a través de un servidor RADIUS o TACACS+, tiene DHCP Snooping por cada VLAN, detección de bucles (con soporte para Spanning-Tree Protocol y también para RSTP y MSTP) y permite mitigar los ataques de denegación de servicio.

La administracón de este switch se puede realizar a través de web bajo HTTP, HTTPS (compatible con SSL v2/v3 y TLS), además también se puede administrar vía SNMP v1, v2c y v3.

Más información

• TRENDnet.  http://www.trendnet.com/products/proddetail.asp?prod=195_TEG-082WS&cat=0&status=view#tabs-solution01

Fuente: TRENDnet

ANONABOX. Navega de forma 100% anónima con

Anonabox nace de un proyecto a través de Kickstarter en el que pedían a la gente un total de 7.500 dólares para poder seguir con el desarrollo. En pocas horas dicho límite fue alcanzado y en apenas una semana ha conseguido ya más de 500.000 dólares de presupuesto con los que podrán seguir adelante con su proyecto. Este dispositivo de pequeñas dimensiones cuenta con un procesador de 1 núcleo a 580Mhz y 64 MB de ram, hardware suficiente para cumplir con su cometido.

El uso de este dispositivo es muy sencillo y se resume en 3 pasos:

1)   Conectar un cable RJ45 a nuestro router.

2)   Enchufar Anonabox a la red eléctrica mediante el cable micro-usb y esperar a que este arranque.

3)   Conectar los PC o dispositivos mediante cable o Wi-FI para comenzar a navegar de forma anónima y privada por la red.

Anonabox es un proyecto 100% software libre. Este dispositivo utiliza hardware de código abierto, ha publicado el código de todo el proyecto y utiliza OpenWRT como sistema operativo y la red TOR para hacer anónimo el tráfico generado.

Su precio rondará los 51 dólares y sus desarrolladores esperan tenerlo disponible para principios del año que viene. 

Fuente: Redeszone.net

CYBORG UNPLUG. Router Wi-Fi para inhabilitar las Google Glass, drones y micrófonos espía

Ha aparecido a escena un router inalámbrico Wi-Fi llamado Cyborg Unplug que es capaz de detectar las señales de estos dispositivos inalámbricos e impedir que se conecten a la red Wi-Fi para subir el contenido a Internet o a un servidor remoto de vigilancia.

Este dispositivo Cyborg Unplug incorpora un firmware con un script llamado glasshole.sh que es capaz de detectar y desconectar las Google Glass de la red local del administrador, pero este router Wi-Fi también será capaz de inhabilitar las señales de cualquier Google Glass que se conecten a otras redes inalámbricas, es decir, estamos hablando de un inhibidor.

El router ha sido desarrollado siguiendo el espíritu de la campaña “Stop The Cyborgs” que prohíbe a los usuarios de las Google Glass la entrada a restaurantes, cafés o clubs en EEUU. Este router estará disponible a finales de este mismo mes a un precio entre 50 y 100 dólares.

¿Cómo funciona Cyborg Unplug?

• Los fabricantes incorporan a sus dispositivos Wi-Fi una dirección MAC que es única (en teoría), los fabricantes usan un determinado rango de direcciones para sus equipos. Gracias al script glasshole, se puede detectar en el espectro inalámbrico estos dispositivos y lanzar un ataque de desautenticación contra la red inalámbrica Wi-Fi, igual que se hace en las auditorías inalámbricas. Este ataque se puede realizar tanto en nuestra red local inalámbrica como en la de otros, únicamente los dispositivos a “banear” tienen que estar al alcance de Cyborg Unplug.
• Cuando el router localiza y banea un equipo, lanzará una alarma a través de notificación LED, audio o mensaje, para informar de lo sucedido. Podemos considerar a este router como un inhibidor de señal de los dispositivos de vigilancia, ya que impide de forma activa que se conecten a las redes inalámbricas, pero no afecta a ordenadores portátiles, smartphones, tablets y un gran número de dispositivos inalámbricos.

Más información

• Proyecto Cyborg Unplug (detalles del router)  http://plugunplug.net/

Fuente: Redeszone.net

BROADCOM. El WPS de estos equipos se puede crackear en segundos de forma offline

Un investigador ha descubierto que en los equipos Broadcom la vulnerabilidad del WPS es aún mayor, ya que hay un fallo en la función pseudo-aleatoria que genera los PIN en estos equipos. De esta forma, cualquiera podría capturar la información necesaria y calcular el PIN de forma offline, sin necesidad de fuerza bruta. 

Actualmente los fabricantes están incorporando a sus equipos un método para limitar los ataques de fuerza bruta para proteger el WPS, sin embargo, este ataque recién descubierto elude por completo esta “defensa” que tenían hasta ahora.

Antecedentes de la noticia

• Es conocida la vulnerabilidad que tienen los equipos Wi-Fi con el WPS (Wi-Fi Protected Setup), y es que este método de autenticación en la red inalámbrica está completamente roto. Desde sus inicios, el WPS permite atacar por fuerza bruta un PIN que tan sólo tiene 11.000 combinaciones posibles.
• Aunque el PIN de WPS esté formado por 8 números, en teoría el número de combinaciones sería de 100.000.000, algo que nos llevaría mucho tiempo de crackear. Sin embargo, un fallo en la arquitectura permite reducir este número a tan sólo 11.000 combinaciones y es que el WPS está dividido en “dos” PIN. El PIN1 tiene 4 (10.000 combinaciones) dígitos y el PIN2 tiene únicamente 3 dígitos (1.000 combinaciones), dejando el último PIN como checksum de los anteriores (según el estándar oficial).

La vulnerabilidad en la actualidad 

• Los actuales ataques al WPS pueden tener éxito en unas cuatro horas hasta que se encuentra el PIN correcto, sin embargo, con este nuevo ataque se podría conseguir en un segundo. Según el investigador, este problema afecta a las implementaciones de Broadcom y de otro fabricante que no ha querido desvelar porque aún no han solucionado el problema.
• Este problema, al estar presente en el código del fabricante de los chipsets, afecta a los usuarios finales de los equipos. Este fallo de seguridad es debido a la falta de aleatoriedad en el número usado para crear números pseudo-aleatorios.

Fuente: ArsTechnica

CHINA. Los routers de Netis tienen puerta trasera

 Expertos en seguridad han encontrado en los routers del fabricante de equipos de red Netis una puerta trasera que puede ser utilizada con facilidad gracias a que en el propio router se encuentran las credenciales para acceder a la configuración del mismo.

Los routers de la compañía Netis cuentan con una gran popularidad por ser los mejores a la hora de ofrecer cobertura WiFi en el hogar, algo que juega a favor del fabricante y de los que posean interés por realizar el espionaje a estos. Por este motivo, Netis no solo es uno de los más importantes y con más presencia en China, ya que también cuenta con una importante cuota de mercado en Corea del Sur, Israel, Estados Unidos y Taiwan.

Realización de ataques man-in-the-middle

• Cabe la posibilidad de que esta puerta trasera no haya sido creada para realizar el espionaje de los usuarios con estos equipos y que simplemente haya sido un fallo a la hora de programar el firmware que utilizan los dispositivos. Sea el motivo que sea, la puerta trasera deja una vía abierta a que los cibercriminales puedan realizar un ataque man-in-the-middle para interceptar la información que se envíe desde el ordenador del usuario.
• Además, el usuario y la contraseña de acceso al menú de administración del router se encuentra almacenado en el dispositivo, tal y como ya hemos mencionado, y estos no se encuentran cifrados, por lo que el acceso a este puede resultar relativamente sencillo.

Posible espionaje por parte de China a Estados Unidos

• Se trata de un culebrón que posiblemente nunca tenga fin. Después de numerosos episodios de supuesto espionaje gracias a programas software o hackeos a servidores, desde Estados Unidos creen que podría ser un intento por tener más acceso a las conexiones de los hogares estadounidenses. Sin embargo, esto no preocupa en exceso a las agencias estadounidenses, pero sí la idea de que los routers que se utilizan en compañías o edificios gubernamentales puedan disponer de una puerta de estas características.
• Sin haber pasado 24 horas desde que se conoció la noticia, la idea de veto de los productos de este fabricante en Estados Unidos si no se resuelve el problema puede ser una realidad.

Fuente: The Hacker News

VULNERABILIDADES. Descubren 15 del tipo "0-day" en routers domésticos

Un grupo de investigadores ha descubierto un total de 15 vulnerabilidades 0-day en cuatro routers domésticos de marcas muy conocidas. Esto se ha conseguido gracias a una competición de hackers llamada SOHOpelessly Broken que se ha celebrado en la DefCon.

Cuatro de los diez routers ofrecidos para atacar fueron el ASUS RT-AC66u, NETGEAR WNDR4700, Belkin N900 y TRENDnet TEW-812DRU que fueron completamente comprometidos según los participantes. Estos routers permitieron a los atacantes la ejecución de comandos como administrador, por lo que se hicieron con el control total del equipo. Un detalle importante es que estos routers tenían el firmware actualizado a la última versión, por lo que la vulnerabilidad en estos equipos persiste a día de hoy.

Otros routers que también tuvieron en su poder fueron el Linksys EA6500, Netgear WNR3500U/WNR3500L, TP-Link TL-WR1043ND, D-Link DIR-865L y el router inalámbrico de la Fundación  Electronic Frontier. No ha trascendido la información si estos equipos son vulnerables o ni siquiera se pudieron probar.

Craig Young, investigador de Tripwire reportó 11 de los 15 fallos de seguridad descubiertos durante la competición. Algunas compañías afectadas habían solucionado estas vulnerabilidades 0-day pero no lo hicieron en los modelos especificados y pudieron ser atacados.

Se espera que muy pronto los fabricantes lancen una actualización que solucione este grave problema.

Fuente: The Register

NAS SYNOLOGY . Afectados por el malware Synolocker

 Un problema desconocido afecta a todos los modelos de NAS de  Synology provocando que el dispositivo sea hackeado y afectado por el malware Synolocker, cifrando los archivos almacenados en este.

El resultado es algo similar a lo que sucede con los equipos con sistema operativo Windows cuando se ven afectados por un malware que cifra los archivos. En este caso, al iniciar sesión en el administrador web del dispositivo el usuario se encuentra con una pantalla que informa al usuario sobre el cifrado que se ha aplicado sobre sus archivos y que están inaccesibles a no ser que se abone una cantidad de dinero, siendo esta el pasaporte para poder recuperar el acceso a los archivos.

Hasta este momento, la información es muy confusa y ni siquiera la propia compañía ha vertido algún comentario explicando o tratando de justificar qué es lo que sucede con los dispositivos.

Se desconocen  los modelos afectados

• Puesto que la versión de DSM es la misma para todos los modelos se cree que el fallo está afectando a todos los dispositivos, pero no se sabe en qué versión del sistema operativo está el fallo de seguridad ni qué provoca que Synolocker pueda llegar al dispositivo NAS. Solo se sabe que algunos usuarios han comenzado a reportar que su dispositivo ha sido hackeado y que no se puede acceder ni a su menú de configuración ni a los archivos que se encuentran en las carpetas de red.
• Teniendo en cuenta que lo que expone a los dispositivos es el módulo EZ Internet, ahí podría residir el problema y ser el origen de las infecciones. Hasta que se sepa qué sucede se recomienda desconectar los NAS Synology de Internet, evitando que estos sean visibles desde fuera de la red LAN. Hay que tener en cuenta que sin la clave todos los archivos cifrados se perderán.

Recomendación

• Synology informa que  se encuentra disponible una actualización para resolver el problema, en el caso de no estar aún infectado se pide que se instale con urgencia. Si disponemos un equipo que está infectado la compañía pide que se espere hasta que puedan encontrar una solución sin necesidad de perder los datos.

Fuente : Forum.synology.com