Un nuevo dolor de cabeza persigue a s de todo el mundo: la expansión de una botnet que está haciendo estragos al infectar miles de routers. Por suerte, se han publicado las instrucciones que te permitirán proteger tu dispositivo y así evitar el riesgo existente.
Un grupo de especialistas en seguridad han pillado con las manos en la masa una botnet muy peligrosa que parece que está intentando realizar múltiples ataques a distintos fabricantes. Por lo que cuentan desde GreyNoise, este ataque ha intentado golpear routers de marcas como Linksys, Cisco o D-Link. No obstante, parece que por el momento el único efecto que han conseguido ha sido con una marca: Asus.
Miles de routers en riesgo
Hay una buena y una mala noticia. La mala es, obviamente, que existe un riesgo y que más de 9.000 routers de la marca Asus han caído víctimas de esta infección. La buena es que el fabricante, siguiendo lo que se espera de una de las principales entidades del mercado, ha actuado con rapidez y ha lanzado actualizaciones para todos los dispositivos afectados. Por lo tanto, los s que se vean identificados en la lista que compartiremos a continuación, solo tendrán que proceder a la actualización automática para poder estar a salvo y que no se tengan que preocupar de nada.
La botnet en cuestión se descubrió originariamente en marzo de este año y recibe el nombre de AyySSHush. Los especialistas que la han descubierto no saben exactamente quién se esconde detrás de ella, aunque podrían tener algunos indicios. En cualquier caso, acaba siendo lo menos relevante en una situación donde, lo fundamental, es llegar a parchear el router para saber que estaremos a salvo.
¿Cómo evitar problemas?
Primero de todo, desde GreyNoise dicen que la naturaleza de esta botnet la vuelve complicada de parar. Y el motivo de ello es que se trata de una infección persistente que no tiene en cuenta que se hayan realizado actualizaciones del firmware del router. Es decir, si nos infectamos con anterioridad, incluso si hemos actualizado el firmware a una versión más actual, seguiremos estando en riesgo. Las actualizaciones de firmware, por lo tanto, no cerrarán el agujero de seguridad que se habrá creado en el momento de la infección. Por ello, la única solución es que apliquemos los parches que está distribuyendo Asus y que hagamos una revisión manual. Además, los expertos en seguridad que lo han descubierto explican que no es un ataque que cargue malware, lo que deriva en que sea difícil detectarlo.
Algunos de los routers afectados por el ataque son los modelos RT-AX55, RT-AC3100 y RT-AC3200, entre otros. Para evitar los problemas, primero hay que hacerse con la actualización de firmware que soluciona el fallo de seguridad CVE-2023-39780, la cual ha distribuido el fabricante. Pero, como indicamos, con eso lo que estamos haciendo es blindar nuestro router, pero no eliminar la infección si ya la hemos sufrido. Por lo tanto, a continuación, los s tendrán que comprobar el SSH en T/53282, echar un vistazo al archivo authorized_keys y buscar algún tipo de entrada que no tenga autorización. Después, hay que proceder al bloqueo de cuatro direcciones IP que se indican a continuación: 101.99.91.151, 101.99.94.173, 79.141.163.179 y 111.90.146.237.
En el caso de creer que el router sigue infectado y que no se ha solucionado de ninguna manera siguiendo estas indicaciones, la recomendación que hacen desde GreyNoise es realizar un reinicio de fábrica. A partir de ahí, habrá que configurar el router paso a paso, pero ten en cuenta que este es un proceso complicado que requiere conocimientos avanzados para no tener problemas. Tras la reconfiguración, será necesario proteger el router con una buena contraseña y asegurarnos de tener la última versión del firmware que hemos indicado antes.
