Más de 6 millones de enrutadores estuvieron expuestos a ataques durante meses
Alrededor de seis millones de enrutadores de clientes de Sky Broadband en el Reino Unido se vieron afectados por una vulnerabilidad crítica. Lo más llamativo es que la empresa tardó más de 17 meses en implementar una solución para los clientes.
La vulnerabilidad revelada es una falla de revinculación de DNS que los atacantes podrían explotar fácilmente si el usuario no hubiese cambiado la contraseña de administrador predeterminada. También, un potencial atacante pudo aplicar fuerza bruta a las credenciales.
El resultado de la explotación permitía comprometer la red doméstica del cliente y cambiar la configuración del enrutador y potencialmente saltar a otros dispositivos internos.
Ataque de revinculación de DNS en los enrutadores
Los ataques de revinculación de DNS (DNS Rebinding) se utilizan para evadir una medida de seguridad del navegador llamada Política del Mismo Origen (SOP). Esta política bloquea un sitio para que no envíe solicitudes a sitios web que no sean su propio origen. Este origen suele ser el dominio que visitaste en el navegador.
Esta medida de seguridad se introdujo para evitar que un sitio web robe cookies de otro sitio, acceda a datos en otros sitios o realice otros ataques entre dominios.
Como SOP se centra en el nombre de dominio en lugar de la dirección IP, el objetivo es engañar a un navegador para que piense que un script estaba comunicándose con el dominio original. Sin embargo, en realidad, está comunicándose con una dirección IP interna (127.0.01/192.168.0.1).
Aquí es donde entran en juego los ataques de DNS Rebinding, y cuando se realizan correctamente, dan lugar a una gran cantidad de ataques.
Ataque a los enrutadores
Para que el ataque funcione, la víctima debe ser engañada para que haga clic en un enlace malicioso o visite un sitio web malicioso. Esto podría hacerlo fácilmente un ciberdelincuente que envíe a los clientes de Sky correos electrónicos de phishing, publicaciones en redes sociales o mensajes de texto SMS que contengan enlaces al sitio malicioso.
Una vez que la víctima visita el sitio, se muestra un iframe que solicita datos de un subdominio controlado por el atacante.
Este script luego carga un payload de JavaScript en el iframe, que realiza solicitudes HTTP consecutivas al servidor, y este último responde con su dirección IP.
Después de unos segundos, el servidor deja de responder a estas solicitudes. Y, esto desencadena el reinicio de la conexión del navegador al dominio, por lo que se envía una nueva solicitud de DNS.
Sin embargo, esta vez, el servidor responde con la dirección IP del objetivo (192.168.0.1), que es el enrutador de la víctima.
Como el navegador cree que todavía se está comunicando con el dominio de origen, permitirá que el script del sitio web remoto envíe solicitudes a la dirección IP interna del enrutador (192.168.0.1).
“Después de que se estableció la conexión del payload de JavaScript al enrutador de destino, el atacante podría comunicarse con el servidor web interno. Asimismo podría realizar solicitudes que cambiarían la configuración de la misma manera que normalmente sucedería desde el navegador web de un cliente”.
Informe de PenTestPartners
