Cómo revisar su enrutador para detectar malware

La seguridad del enrutador del consumidor es bastante mala. Los atacantes se están aprovechando de fabricantes poco agresivos y atacando grandes cantidades de enrutadores. Aquí le indicamos cómo verificar si su enrutador ha sido comprometido..

El mercado de enrutadores domésticos es muy parecido al mercado de teléfonos inteligentes Android. Los fabricantes producen una gran cantidad de dispositivos diferentes y no se molestan en actualizarlos, dejándolos abiertos a ataques.

Cómo su enrutador puede unirse al lado oscuro

Los atacantes a menudo buscan cambiar la configuración del servidor DNS en su enrutador, apuntando a un servidor DNS malicioso. Cuando intenta conectarse a un sitio web, por ejemplo, el sitio web de su banco, el servidor DNS malicioso le indica que vaya a un sitio de phishing. Todavía puede decir bankofamerica.com en su barra de direcciones, pero estará en un sitio de phishing. El servidor DNS malicioso no responde necesariamente a todas las consultas. Simplemente puede agotar el tiempo de espera en la mayoría de las solicitudes y luego redirigir las consultas al servidor DNS predeterminado de su ISP. Las solicitudes de DNS inusualmente lentas son una señal de que puede tener una infección.

Las personas de ojos afilados pueden notar que tal sitio de phishing no tendrá cifrado HTTPS, pero muchas personas no lo notarán. Los ataques de supresión de SSL pueden incluso eliminar el cifrado en tránsito.

Los atacantes también pueden simplemente inyectar anuncios, redirigir los resultados de búsqueda o intentar instalar descargas ocultas. Pueden capturar solicitudes de Google Analytics u otros scripts en casi todos los sitios web y redirigirlos a un servidor que proporciona un script que, en cambio, inyecta anuncios. Si ve anuncios pornográficos en un sitio web legítimo como How-To Geek o The New York Times, es casi seguro que esté infectado con algo, ya sea en su enrutador o en su computadora..

Muchos ataques hacen uso de ataques de falsificación de solicitud entre sitios (CSRF). Un atacante inserta JavaScript malicioso en una página web, y ese JavaScript intenta cargar la página de administración basada en la web del enrutador y cambiar la configuración. Como el JavaScript se ejecuta en un dispositivo dentro de su red local, el código puede acceder a la interfaz web que solo está disponible dentro de su red.

Algunos enrutadores pueden tener activadas sus interfaces de administración remota junto con los nombres de usuario y las contraseñas predeterminados; los robots pueden buscar dichos enrutadores en Internet y obtener acceso. Otros exploits pueden aprovechar otros problemas del enrutador. UPnP parece ser vulnerable en muchos enrutadores, por ejemplo.

Como revisar

El único indicio de que un enrutador ha sido comprometido es que su servidor DNS ha sido cambiado. Querrá visitar la interfaz basada en web de su enrutador y comprobar la configuración del servidor DNS.

Primero, tendrás que acceder a la página de configuración basada en web de tu enrutador. Verifique la dirección de la puerta de enlace de su conexión de red o consulte la documentación de su enrutador para averiguar cómo.

Inicia sesión con el nombre de usuario y la contraseña de tu enrutador, si es necesario. Busque una configuración de "DNS" en algún lugar, a menudo en la pantalla de configuración de conexión de Internet o WAN. Si está configurado en "Automático", está bien, lo está obteniendo de su ISP. Si está configurado en "Manual" y hay servidores DNS personalizados ingresados allí, eso podría ser un problema.

No es un problema si ha configurado su enrutador para usar buenos servidores DNS alternativos, por ejemplo, 8.8.8.8 y 8.8.4.4 para el DNS de Google o 208.67.222.222 y 208.67.220.220 para OpenDNS. Pero, si hay servidores DNS que no reconoce, es una señal de que el malware ha cambiado su enrutador para usar servidores DNS. En caso de duda, realice una búsqueda en la web de las direcciones del servidor DNS y vea si son legítimas o no. Algo como "0.0.0.0" está bien y, a menudo, simplemente significa que el campo está vacío y que el enrutador obtiene un servidor DNS en su lugar..

Los expertos aconsejan verificar esta configuración ocasionalmente para ver si su enrutador ha sido comprometido o no.

Ayuda, hay un servidor DNS malicioso!

Si hay un servidor DNS malicioso configurado aquí, puede deshabilitarlo y decirle a su enrutador que use el servidor DNS automático de su ISP o ingrese las direcciones de servidores DNS legítimos como el DNS de Google o OpenDNS aquí.

Si se ingresa un servidor DNS malicioso aquí, es posible que desee borrar todas las configuraciones de su enrutador y restablecerlas de fábrica antes de volver a configurarlo, solo para estar seguro. Luego, use los siguientes trucos para ayudar a asegurar el enrutador contra futuros ataques.

Endureciendo su enrutador contra los ataques

Ciertamente puedes endurecer tu enrutador contra estos ataques, de alguna manera. Si el enrutador tiene orificios de seguridad que el fabricante no ha reparado, no puede asegurarlo completamente.

Instalar actualizaciones de firmware: Asegúrese de que esté instalado el firmware más reciente para su enrutador. Habilite las actualizaciones automáticas de firmware si el enrutador lo ofrece; desafortunadamente, la mayoría de los enrutadores no lo hacen. Esto al menos garantiza que estés protegido contra cualquier falla que haya sido reparada.
Deshabilitar el acceso remoto: Deshabilite el acceso remoto a las páginas de administración basadas en web del enrutador.
Cambiar la contraseña: Cambie la contraseña a la interfaz de administración basada en web del enrutador para que los atacantes no puedan acceder a la predeterminada.
Desactivar UPnP: UPnP ha sido particularmente vulnerable. Incluso si UPnP no es vulnerable en su enrutador, una pieza de malware que se ejecuta en algún lugar dentro de su red local puede usar UPnP para cambiar su servidor DNS. Así es como funciona UPnP: confía en todas las solicitudes provenientes de su red local.

DNSSEC debe proporcionar seguridad adicional, pero no es una panacea aquí. En el mundo real, cada sistema operativo cliente solo confía en el servidor DNS configurado. El servidor DNS malintencionado podría reclamar que un registro DNS no tenga información DNSSEC, o que tenga información DNSSEC y que la dirección IP que se transmita sea la real.

Crédito de la imagen: nrkbeta en Flickr