Tutoriales y Manuales
Entradas Mensuales
- ► 2021 (Total: 730 )
- ► 2020 (Total: 212 )
- ► 2019 (Total: 102 )
-
▼
2018
(Total:
150
)
-
▼
agosto
(Total:
13
)
- Joven de 16 años logró hackear 90GB datos de Apple
- Descubren backdoor que activa Modo Dios en antiguo...
- FakesApp permite manipular mensajes enviados por W...
- Alertan nueva nueva campaña de phishing haciéndos...
- Acusado de robar más de 5 millones de dólares en B...
- Ejecución remota en múltiples impresoras HP
- Expuestos datos médicos de 2 millones de Méxicanos
- Nuevo método de ataque en redes Wifi WPA/WPA2 PSK ...
- Alertan de los peligros de utilizar un puerto USB ...
- 200 mil routers MikroTik infectados para minar Cri...
- 11 millones de usuarios espiados gracias a estas A...
- Incidente de seguridad en Reddit por utilizar 2FA ...
- Autor ransomware SamSam ha ganado casi 6 millones ...
-
▼
agosto
(Total:
13
)
- ► 2017 (Total: 231 )
- ► 2016 (Total: 266 )
- ► 2015 (Total: 445 )
- ► 2014 (Total: 185 )
- ► 2013 (Total: 100 )
- ► 2012 (Total: 8 )
- ► 2011 (Total: 7 )
Blogroll
Etiquetas
noticias
(
396
)
seguridad
(
336
)
privacidad
(
243
)
vulnerabilidad
(
191
)
software
(
183
)
ransomware
(
178
)
android
(
166
)
google
(
165
)
Malware
(
153
)
tutorial
(
153
)
Windows
(
149
)
manual
(
138
)
cve
(
134
)
hardware
(
130
)
linux
(
93
)
herramientas
(
70
)
ddos
(
63
)
hacking
(
63
)
Wifi
(
62
)
sysadmin
(
57
)
cifrado
(
56
)
WhatsApp
(
53
)
app
(
49
)
twitter
(
33
)
firmware
(
31
)
adobe
(
30
)
eventos
(
30
)
Networking
(
29
)
contraseñas
(
28
)
nvidia
(
27
)
antivirus
(
26
)
flash
(
26
)
office
(
26
)
ssd
(
25
)
cms
(
24
)
firefox
(
24
)
MAC
(
23
)
hack
(
22
)
programación
(
22
)
youtube
(
20
)
apache
(
18
)
juegos
(
18
)
javascript
(
17
)
SeguridadWireless
(
16
)
documental
(
16
)
exploit
(
16
)
multimedia
(
16
)
ssl
(
16
)
anonymous
(
15
)
Kernel
(
14
)
conferencia
(
14
)
Debugger
(
13
)
Forense
(
13
)
técnicas hacking
(
13
)
auditoría
(
12
)
lizard squad
(
12
)
delitos
(
11
)
Virtualización
(
10
)
metasploit
(
10
)
adamo
(
9
)
reversing
(
9
)
Ehn-Dev
(
7
)
Rootkit
(
7
)
antimalware
(
6
)
MAC Adress
(
5
)
oclHashcat
(
5
)
Entradas populares
-
-
Reportan la detección de una nueva "técnica" para recopilar credenciales de usuarios robadas abusando de las características de l...
-
¿Vale la pena seguir usando banda 2.4GHz o mejor usar sólo Banda 5GHz? Diferencias, ventajas y desventajasLa forma de conectarnos a Internet en nuestra casa suele ser la conectividad WiFi, por este motivo es tan importante tener un router WiFi...
domingo, 5 de agosto de 2018


Publicado por
el-brujo


Editar entrada
Un grupo de investigadores de seguridad de SpiderLabs ha encontrado en
la red una nueva botnet, formada por más de 170.000 routers MikroTik,
que inyecta una serie de scripts de Coinhive para minar criptomonedas
utilizando los ordenadores y dispositivos de los usuarios conectados a
estos routers, lo que se conoce como Criptojacking .Según estos investigadores de seguridad, esta botnet se
inició, en unos 72.000 routers en Brasil, aunque en muy poco tiempo
empezó a infectar dispositivos de todo el mundo hasta superar la cifra de los 170.000 routers MikroTik comprometidos, cifra que, además, sigue creciendo. MikroTik RouterOS es vulnerable en el puerto Winbox en las versiones RouterOS desde la 6.29 (release date: 2015/28/05) hasta 6.42 (release date 2018/04/20)
El primero en avistar los ataques ha sido un investigador brasileño que corresponde al nombre de MalwareHunterBR en Twitter, pero la campaña se expandía de forma rápida infectando más routers cada vez, la cual llamó la atención de Simon Kenin, un investigador de seguridad de la división SpiderLabs de la empresa Trustwave.
Kenin dijo que el atacante está usando un 0-Day en el componente Winbox de los routers Mikrotik que se descubrió en abril. Mikrotik parcheo este exploit en menos de un día (RouterOS v6.42.1 y v6.43rc4), pero esto no quiere decir que la mayoría de propietarios de dichos routers hayan aplicado el parche.
Sin embargo, el 0-Day fue diseccionado por varios investigadores de seguridad, y múltiples pruebas de concepto públicas han aparecido en GitHub [1, 2] para versiones 6.29 (2015/28/05) a 6.42 (2018/04/20). El binario mproxy es el afectado.
De acuerdo con Kenin, el atacante ha usado uno de esos PoC para alterar el tráfico que pasaba por los routers Mikrotik e inyectan una copia del minero Coinhive dentro de todas las páginas servidas por el propio router.
Una sencilla búsqueda en Shodan nos revela que hay sobre 1.7 millones de routers Mikrotik disponibles online.
Tiempo después, se ha descubierto que una segunda clave de Coinhive estaba siendo inyectada en el tráfico de los routers Mikrotik. Esta segunda campaña ha afectado alrededor de 25.000 routers, (billetera oDcuakJy9iKIQhnaZRpy9tEsYiF2PUx4) llevando el total de routers infectados a 200.000, ya que la primera clave está siendo usada en 175.000 routers infectados (billetera hsFAjjijTyibpVjCmfJzlfWH3hFqWVT3). No se sabe a ciencia cierta si esta segunda campaña está siendo llevada a cabo por otro cracker, o por el mismo autor de la primera clave después de que Trustwave expusiera su primera operación.
Según un informe, solo un 14% de los encuestados han actualizado alguna vez el firmware de su router. Además, un 82% nunca ha cambiado la contraseña de acceso al router, la que viene de forma predeterminada de fábrica. Si hablamos de la contraseña del Wi-Fi, algo que a priori sí preocupa algo más a los usuarios, únicamente el 31% de los encuestados había cambiado en alguna ocasión la que venía de fábrica. Y solo un 30% entró alguna vez en el panel de control para ver qué dispositivos hay conectados.
Fuentes:
https://www.redeszone.net/2018/08/02/routers-mikrotik-botnet-minar-monedas/
https://blog.segu-info.com.ar/2018/08/campana-masiva-de-criptojacking-mas-de.html
Campaña masiva de Criptojacking a más de 200.000 routers Mikrotik
Investigadores de seguridad de Trustwave han descubierto una campaña masiva que tiene como objetivo a routers Mikrotik, en los cuales cambian su configuración para inyectar una copia del minero Coinhive en algunas partes del trafico web de los usuarios.El primero en avistar los ataques ha sido un investigador brasileño que corresponde al nombre de MalwareHunterBR en Twitter, pero la campaña se expandía de forma rápida infectando más routers cada vez, la cual llamó la atención de Simon Kenin, un investigador de seguridad de la división SpiderLabs de la empresa Trustwave.
Kenin dijo que el atacante está usando un 0-Day en el componente Winbox de los routers Mikrotik que se descubrió en abril. Mikrotik parcheo este exploit en menos de un día (RouterOS v6.42.1 y v6.43rc4), pero esto no quiere decir que la mayoría de propietarios de dichos routers hayan aplicado el parche.
Sin embargo, el 0-Day fue diseccionado por varios investigadores de seguridad, y múltiples pruebas de concepto públicas han aparecido en GitHub [1, 2] para versiones 6.29 (2015/28/05) a 6.42 (2018/04/20). El binario mproxy es el afectado.
De acuerdo con Kenin, el atacante ha usado uno de esos PoC para alterar el tráfico que pasaba por los routers Mikrotik e inyectan una copia del minero Coinhive dentro de todas las páginas servidas por el propio router.
- https://www.reddit.com/r/InternetBrasil/comments/92vv29/preciso_de_ajuda_um_script_de_minerar_coins_est%C3%A1/
Una sencilla búsqueda en Shodan nos revela que hay sobre 1.7 millones de routers Mikrotik disponibles online.
Tiempo después, se ha descubierto que una segunda clave de Coinhive estaba siendo inyectada en el tráfico de los routers Mikrotik. Esta segunda campaña ha afectado alrededor de 25.000 routers, (billetera oDcuakJy9iKIQhnaZRpy9tEsYiF2PUx4) llevando el total de routers infectados a 200.000, ya que la primera clave está siendo usada en 175.000 routers infectados (billetera hsFAjjijTyibpVjCmfJzlfWH3hFqWVT3). No se sabe a ciencia cierta si esta segunda campaña está siendo llevada a cabo por otro cracker, o por el mismo autor de la primera clave después de que Trustwave expusiera su primera operación.
Muy pocos usuarios actualizan el firmware del router
Según un informe, solo un 14% de los encuestados han actualizado alguna vez el firmware de su router. Además, un 82% nunca ha cambiado la contraseña de acceso al router, la que viene de forma predeterminada de fábrica. Si hablamos de la contraseña del Wi-Fi, algo que a priori sí preocupa algo más a los usuarios, únicamente el 31% de los encuestados había cambiado en alguna ocasión la que venía de fábrica. Y solo un 30% entró alguna vez en el panel de control para ver qué dispositivos hay conectados.
Medidas de seguridad básicas en un router
Se recomienda:- Deshabilitar la administración remota (Disable Remote Administration). La administración remota suele estar deshabilitada por defecto.
- Cambiar las contraseñas por defecto (acceso al router, Wifi, etc)
- Desactivar servicios que no utilicemos (especialmente servicios accesibles remotamente desde WAN (Internet)
- Utilizar el último firmware disponible (o al menos no usar versiones vulnerables)
Fuentes:
https://www.redeszone.net/2018/08/02/routers-mikrotik-botnet-minar-monedas/
https://blog.segu-info.com.ar/2018/08/campana-masiva-de-criptojacking-mas-de.html