Un misterioso grupo de hackers está escuchando el correo electrónico corporativo y el tráfico FTP


DrayTek Vigor

Imagen: DrayTek, ZDNet

Desde al menos principios de diciembre de 2019, un misterioso grupo de hackers se ha hecho cargo de los enrutadores empresariales DrayTek para espiar el tráfico de FTP y correo electrónico dentro de las redes corporativas, dijo hoy la firma de seguridad china Qihoo 360.

en un reporte publicado en el blog site de su división de seguridad de red Netlab, Qihoo dijo que sus investigadores detectaron dos actores de amenazas diferentes, cada uno explotando una vulnerabilidad de día cero diferente en DrayTek Vigor: enrutadores de equilibrio de carga y puertas de enlace VPN típicamente implementadas en redes empresariales.

Grupo de ataque A: robo de tráfico FTP y correo electrónico

De los dos grupos de hackers, el primero, identificado solo como «Grupo de ataque A», parece ser, con mucho, el más sofisticado de los dos.

Según Qihoo, el grupo apareció en su radar el 4 de diciembre del año pasado, cuando detectaron un ataque bastante complejo en los dispositivos DrayTek.

Qihoo dice que el Grupo de ataque A abusó de una vulnerabilidad en el mecanismo de inicio de sesión cifrado por RSA de los dispositivos DrayTek para ocultar el código malicioso dentro del campo de inicio de sesión del nombre de usuario del enrutador.

Cuando un enrutador DrayTek recibió y luego descifró los datos de inicio de sesión cifrados por RSA bobobytrapped, ejecutó el código malicioso y otorgó a los hackers el command sobre el enrutador.

Pero aquí es donde las cosas se pusieron raras. En lugar de abusar del dispositivo para lanzar ataques DDoS o redirigir el tráfico como parte de una red proxy, los piratas informáticos se convirtieron en una caja espía.

Los investigadores dicen que los piratas informáticos desplegaron un script que registraba el tráfico proveniente del puerto 21 (FTP – transferencia de archivos), el puerto 25 (SMTP – correo electrónico), el puerto 110 (POP3 – correo electrónico) y el puerto 143 (IMAP – correo electrónico).

Luego, todos los lunes, miércoles y viernes a las :00, el script cargaría todo el tráfico grabado a un servidor remoto.

Los investigadores de Qihoo no especularon por qué los hackers estaban recolectando tráfico FTP y correo electrónico. Pero hablando con ZDNet por teléfono, un investigador de seguridad señaló que esto parecía una operación de reconocimiento clásica.

«Los cuatro protocolos son de texto claro. Es obvio que están registrando el tráfico para recopilar credenciales de inicio de sesión para cuentas de FTP y correo electrónico», dijo el investigador a ZDNet. «Esos créditos están volando sin encriptar a través de la red. Son elecciones fáciles».

*** El investigador no quería que se compartiera su nombre para este artículo, ya que no estaba autorizado a hablar con la prensa sin la aprobación del departamento de relaciones públicas de su empleador.

Además, ZDNet también entiende por otra fuente de la industria que la campaña de piratería del grupo no ha pasado desapercibida y ha sido observada por otras empresas de seguridad cibernética. Sin embargo, el Grupo de ataque A no comparte ninguna infraestructura de servidor o muestras de malware con ningún otro grupo de piratería conocido, por lo que, por ahora, parece ser un grupo nuevo.

Grupo de ataque B: creación de cuentas de puerta trasera

Pero los dispositivos DrayTek también han sido abusados ​​por un segundo grupo, que Qihoo denominó en código «Grupo de ataque B».

Este grupo usó un día cero diferente, pero los piratas informáticos no lo descubrieron ellos mismos. En cambio, el día cero se describió por primera vez en una publicación del 26 de enero en el blog site Cranium Military, y los hackers comenzaron a explotarlo dos días después.

Según Qihoo, los piratas informáticos utilizaron este segundo día cero para ejecutar código en dispositivos DrayTek vulnerables al explotar un mistake en el proceso «rtick» para crear cuentas de puerta trasera en los enrutadores pirateados. Lo que hicieron con esas cuentas sigue siendo desconocido.

Parches lanzados en febrero

Qihoo dijo que sus investigadores notificaron a DrayTek sobre ambos días cero una vez que detectaron ataques sin embargo, su primera alerta fue enviada a través de un canal incorrecto y nunca fue vista por el private de DrayTek.

El vendedor finalmente se enteró de los dos días cero después de los ataques del Grupo B en enero y parches de firmware lanzados el 10 de febrero. DrayTek incluso hizo todo lo posible para lanzar un parche de firmware para un modelo de enrutador ahora descontinuado.

Según Qihoo, se han observado ataques contra DrayTek Vigor 2960, 3900y 300B.

Utilizando el motor de búsqueda BinaryEdge, ZDNet pudo encontrar más de 978,000 dispositivos DrayTek Vigor en Internet, aunque Qihoo dice que solo alrededor de 100,000 de estos están ejecutando una versión de firmware que es vulnerable a los ataques.

draytek-vigor-be.png "src =" https://zdnet4.cbsistatic.com/hub/i/2020/03/28/bcaa9fcb-6456-4c28-9f4e-5a5f57138603/draytek-vigor-be.png





Enlace a la noticia primary