El FBI aconseja reiniciar los 'routers' por el virus VPNFilter

El FBI se ha hecho eco del ataque global y masivo que descubrió Cisco la semana pasada: los ciberatacantes apuntan a routers domésticos y de oficina y dispositivos de red de todo el mundo. El organismo de defensa norteamericano ha recomendado el reinicio de cualquiera de estos aparatos a cualquier propietario del mundo.

Talos, la división de inteligencia de ciberseguridad de Cisco, informa que la amenaza es altamente peligrosa debido a que estos dispositivos se encuentran conectados directamente a la red sin mecanismos de seguridad intermedios, con lo que quedan expuestos a una posible coordinación llevada a cabo a través de una red TOR privada. Entre los males que podrían llegar a producir se encuentra la posibilidad de destruir los equipos dejándolos inoperativos, dejando sin conexión a Internet a infinidad de usuarios.

El comportamiento de este malware en los equipos de red es particularmente preocupante, ya que los componentes del malware VPNFilter permiten el robo de credenciales del sitio web y la supervisión de los protocolos Modbus SCADA. Por último, el malware tiene una capacidad destructiva que puede inutilizar un dispositivo infectado, que puede activarse en máquinas de víctimas individuales o en masa.

Los actores usaron el malware VPNFilter que puede realizar varias funciones como recopilar información, la explotación de dispositivos o el bloqueo de tráfico de red. Aunque no se conoce el vector de infección inicial, Talos, la división de investigación y seguridad de Cisco, asegura que ya afecta a cerca de 500.000 dispositivos de más de 54 países incluyendo los dispositivos de almacenamiento NAS de marcas como Linksys, MikroTik, NetGear, TP-Link y QNAP, entre otros.

Según el FBI, el reinicio de estos aparatos interrumpe temporalmente el malware y ayuda a la posible identificación de dispositivos infectados.  Asimismo, desde Cisco destacan que es posible utilizar las soluciones de seguridad corporativas, Cisco Umbrella, Cloud Web Security y Web Security Appliance como medida de defensa para evitar el virus.

Recomendamos que:

• Los usuarios de los enrutadores SOHO y / o dispositivos NAS los restablecen a los valores predeterminados de fábrica y los reinician para eliminar el malware potencialmente destructivo y no persistente de las etapas 2 y 3.
• Los proveedores de servicios de Internet que proporcionan enrutadores SOHO a sus usuarios reinician los enrutadores en nombre de sus clientes.
• Si tiene alguno de los dispositivos que se sabe o se sospecha que se ven afectados por esta amenaza, es extremadamente importante que trabaje con el fabricante para asegurarse de que su dispositivo esté actualizado con las últimas versiones de parches. De lo contrario, debe aplicar los parches actualizados de inmediato.
• Los ISP trabajan agresivamente con sus clientes para garantizar que sus dispositivos estén actualizados a las versiones de firmware / software más recientes.