Filtro VPN

VPNFilter es un malware diseñado para infectar routers y ciertos dispositivos de almacenamiento en red. Se estima que llegó a infectar aproximadamente 500.000 routers en todo el mundo, aunque el número de dispositivos en riesgo es mayor. ^{[ 1 ]} Puede robar datos, contiene un "interruptor de apagado" diseñado para deshabilitar el router infectado a voluntad y puede persistir incluso si el usuario reinicia el router. ^{[ 2 ]} El FBI cree que fue creado por el grupo ruso Fancy Bear . ^{[ 3 ] [ 4 ]} En febrero de 2022, la CISA anunció que un nuevo malware llamado Cyclops Blink , producido por Sandworm , había reemplazado a VPNFilter. ^{[ 5 ]}

VPNFilter es un malware que infecta diversos tipos de enrutadores de red y dispositivos de almacenamiento. Parece estar diseñado, en parte, para atacar dispositivos de red seriales que utilizan el protocolo Modbus para comunicarse y controlar hardware industrial, como en fábricas y almacenes. El malware cuenta con código específico para atacar sistemas de control que utilizan SCADA . ^{[ 6 ]}

El vector de infección inicial aún se desconoce. El grupo de seguridad Cisco Talos plantea la hipótesis de que el malware explota vulnerabilidades de seguridad conocidas en los enrutadores para infectar los dispositivos. ^{[ 7 ]}

Este software se instala en varias etapas:

1. La etapa 1 implica un gusano que agrega código al crontab del dispositivo (la lista de tareas que el programador cron ejecuta a intervalos regulares en Linux). Esto le permite permanecer en el dispositivo después de un reinicio y volver a infectarlo con las etapas subsiguientes si se eliminan. La etapa 1 utiliza URL conocidas para encontrar e instalar el malware de la etapa 2. Si esas URL conocidas están deshabilitadas, la etapa 1 configura un oyente de socket en el dispositivo y espera a ser contactado por los sistemas de comando y control. ^{[ 8 ]}
2. La fase 2 es el cuerpo del malware, que incluye el código básico que lleva a cabo todas las funciones normales y ejecuta cualquier instrucción solicitada por los módulos especiales y opcionales de la fase 3.
3. La etapa 3 puede consistir en varios "módulos" que le indican al malware que realice acciones específicas, como interceptar datos de red, recopilar credenciales, servir como punto de retransmisión para ocultar el origen de ataques posteriores o recopilar datos de dispositivos de control industrial (Modbus SCADA). Los datos exfiltrados pueden cifrarse posteriormente mediante la red Tor . ^{[ 6 ]}

Tanto Cisco como Symantec recomiendan que los usuarios de dispositivos afectados realicen un restablecimiento de fábrica . Esto se suele hacer utilizando un objeto pequeño y puntiagudo, como un clip enderezado, para presionar el botón de reinicio en la parte posterior del dispositivo durante 10 a 30 segundos (el tiempo varía según el modelo). Esto eliminará el malware y, además, restaurará el router a su configuración original. Si el router tiene habilitada la administración remota, un restablecimiento de fábrica a menudo la deshabilitará (la configuración predeterminada de muchos routers). Se cree que la administración remota es una posible vía de entrada para el ataque inicial.

Antes de volver a conectar a Internet el router restaurado a la configuración de fábrica, se deben cambiar las contraseñas predeterminadas del dispositivo para evitar una nueva infección. ^{[ 9 ]}

El gusano inicial que instala VPNFilter solo puede atacar dispositivos que ejecutan firmware integrado basado en Busybox en Linux compilado únicamente para procesadores específicos. Esto no incluye dispositivos Linux no integrados, como estaciones de trabajo y servidores. ^{[ 10 ]}

Se sabe que el firmware proporcionado por el fabricante en los siguientes modelos de enrutador está en riesgo: ^{[ 11 ] [ 8 ]}

Asus

RT-AX92U

RT-AC66U

RT-N10

RT-N10E

RT-N10U

RT-N56U

RT-N66U

D-Link

DES-1210-08P

DIR-300

DIR-300A

DSR-250N

DSR-500N

DSR-1000

DSR-1000N

Huawei

HG8245

Linksys

E1200

E2500

E3000

E3200

E4200

RV082

WRVS4400N

Mikrotik

CCR1009

CCR1016

CCR1036

CCR1072

CRS109

CRS112

CRS125

RB411

RB450

RB750

RB911

RB921

RB941

RB951

RB952

RB960

RB962

RB1100

RB1200

RB2011

RB3011

Ranura RB

RB Omnitik

STX5

Versiones de Mikrotik RouterOS hasta 6.38.5 en la cadena de lanzamiento actual o 6.37.5 en la cadena de lanzamiento de corrección de errores ^{[ 12 ]}

Netgear

DG834

DGN1000

DGN2200

DGN3500

FVS318N

MBRN3000

R6400

R7000

R8000

WNR1000

WNR2000

WNR2200

WNR4000

WNDR3700

WNDR4000

WINDR4300

WNDR4300-TN

UTM50

QNAP

TS251

TS439 Pro

Otros dispositivos NAS de QNAP que ejecutan el software QTS

TP-Link

VPN R600

TL-WR741ND

TL-WR841N

Ubiquiti

NSM2

PBE M5

Upvel

Modelos desconocidos ^{[ nb 1 ]}

ZTE

ZXHN H108N

El FBI ha desempeñado un papel destacado en la lucha contra este malware, llevando a cabo una investigación que culminó con la incautación del dominio toknowall.com, presuntamente utilizado para redirigir consultas de la etapa 1 del malware, lo que le permitía localizar e instalar copias de las etapas 2 y 3. ^{[ 4 ]} El Departamento de Justicia de EE. UU. también obligó al sitio Photobucket a deshabilitar las URL conocidas utilizadas para distribuir el malware de la etapa 2. ^{[ 7 ] [ 13 ]}