24 Horas de La Vida de Un Router Domestico

24 Horas en la vida de mi router domstico Foll...
http://www.fwhibbit.es/24-horas-en-la-vida-de-mi-...
(https://www.fwhibbit.es/)
24 Horas en la vida de mi router domstico

Publicada en octubre 12, 2016 (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-router-domestico)
Fran
(https://www.fwhibbit.es/author/0fjrm0)
Publicada en Malware (https://www.fwhibbit.es/category/malware), Recoleccin de informacin
(https://www.fwhibbit.es/category/recoleccion-informacion), Redes (https://www.fwhibbit.es/category/redes)
Twittear
Estamos preparados para vivir en un mundo donde cualquier dispositivo conectado est
expuesto a ciberataques? Esta es la frase con la que comenc mi ltima ponencia en las jornadas de
Ciberseguridad QurtubaCON16 (y con la que comenzar en las Jornadas de Ciberseguridad y
Derecho en HoneyCON16 el prximo 11 de Noviembre en Guadalajara). Mi intencin esque los
asistentes saquen sus propiasconclusiones sobre el nivel de riesgo que todos asumimos cada vez
que conectamos nuestros dispositivos a Internet.
Te has preguntado alguna vez que ocurre en tu router domstico y que amenazas le acechan en
el mismo momento en que pulsas el botn de encendido?. En este artculo pretendo realizar un
anlisis de los eventos de seguridad y ataques recibidos en mi propio router domstico de un
famoso ISP espaol. As podrs tomar conciencia del nivel de exposicin al que estn sometidos
estos dispositivos que permiten conectar nuestra vida a la red de redes. Y pongo en el punto de mira
a nuestros routers porque muchas veces no le prestamos la atencin que merecen y en ocasiones los
tenemos encendidos 24x7x365. Los dejamos expuestos de forma permanente, sin ser conscientes de
que en ocasiones los paneles de administracin estn expuestos hacia Internet con credenciales por
defecto o dbiles, que tienen expuestos determinados puertos sin nuestro conocimiento que
pueden ser atacados, que son vulnerables a determinados ataques o que presentan distintos fallos
1 de 20
12/10/16 19:00
de seguridad que no han sido parcheadas ni por nuestro proveedor de Internet ni por el fabricante
del dispositivo. Te recomiendo que visites la web http://routersecurity.org/ (http://routersecurity.org
/bugs.php)en el apartado Router Bugs y Security Checklist sobre vulnerabilidades detectadas en los
ltimos aos y recomendaciones de seguridad.
Durante estos ltimos aos se han producido noticias acerca de vulnerabilidades en routers
distribuidos en Espaa que ponen de manifiesto la gravedad del asunto:
http://www.hackplayers.com/2015/02/250k-routers-de-telefonica-mismas-claves-ssh.html
(http://www.hackplayers.com/2015/02/250k-routers-de-telefonica-mismas-claves-ssh.html)
http://www.muycomputer.com/2015/03/20/700-000-routers-adsl-isp-vulnerables
(http://www.muycomputer.com/2015/03/20/700-000-routers-adsl-isp-vulnerables)
http://www.redeszone.net/2015/01/06/los-routers-de-movistar-adb-pirelli-p-dga4001ntienen-un-grave-fallo-de-seguridad/ (http://www.redeszone.net/2015/01/06/los-routersde-movistar-adb-pirelli-p-dga4001n-tienen-un-grave-fallo-de-seguridad/)
http://www.pcworld.es/seguridad/un-estudio-espanol-descubre-60-vulnerabilidades-en-22modelos-de-routers (http://www.pcworld.es/seguridad/un-estudio-espanol-descubre60-vulnerabilidades-en-22-modelos-de-routers)
Qu ocurrira si un atacante consiguiera acceder a la configuracin DNS de tu router y

modificarla? No solamente podras perder tu privacidad (ya que el atacante podra monitorizar tu
navegacin en Internet) sino que adems podran suplantar por ejemplo la web de tu banco o la de
Utilizamos cookies para asegurar que se le proporciona la mejor experiencia en nuestro sitio web. Si usted contina utilizand
tu compaa a fin de obtener tus credenciales. Eso es solo un ejemplo delo que podra ocurrir y que
suponemos que usted esta de acuerdo
Ok
se describe en el siguiente grfico:
2 de 20
12/10/16 19:00
En muchos casos, los ataques recibidos son automatizados y por tanto si tu router est dentro del
rango de red objetivo que el atacante o dispositivo vulnerado escanea sers una vctima potencial.
Aqu no vale la excusa quien me va a atacar a mi si yo no soy nadie. Solo es necesario que ests en
su rango de ataque. No es necesario que el ataque est dirigido exclusvamente a ti. Cuanto mayor
sea el nmero de vctimas potenciales mayor ser el porcentaje de xito.
Para la recoleccin de eventos de seguridad y ataques, hago uso de un sensor hacia el cual redirijo
todo el trfico que va dirigido hacia mi IP pblica que corresponde con mi router domstico y
monitorizo toda la actividad entrante producida en todo el rango TCP y UDP. Tambin monitorizo los
paquetes ICMP. Considero como sospechoso todo el trfico dirigido hacia mi IP y monitorizo
cualquier intento de conexin a cualquier puerto TCP.
No considerar ataque la recepcin de paquetes SYN a un determinado puerto, sino el acceso por
fuerza bruta a determinados servicios expuestos en el sensor tales como SSH, Telnet, RDP o FTP, la
ejecucin y descarga de muestras de malware o determinados comportamientos anmalos en los
servicios.
Hay que tener en cuenta que una direccin IP de un posible atacante por si sola no es un dato
relevante, ya que se pueden utilizar diferentes tcnicas para ocultar la IP real del origen o incluso el
atacante puede usar un dispositivo ya vulnerado para realizar su ataque a travs de l. En ningn
momento he difundido mi direccin IP para recibir ataques.
La recoleccin de datos se produjo entre el mircoles 6 de Octubre a las 18:00 y el jueves 7 de
Octubre hasta las 18:00. 24 horas.
Una vez agotado el tiempo de recoleccin de informacin, los datos obtenidos son los que voy a
Ok
presentar a continuacin.
3 de 20
12/10/16 19:00
En 24 horas se produjeron un total de 20.070 eventos hacia mi router domstico, de los cuales 4678
puedo considerarlos como ataques. Se han registrado un total de 92 pases distintos desde los
cuales he recibido conexiones a un total de 349 puertos diferentes.
Ms de la mitad de los eventos son recibidos desde Asia. Entre los puertos que han recibido ms
conexiones destacamos el servicio SSH, Telnet, 443, 2323, RPD, VNC, 8080 entre otros. Si yo en
ningn momento he difundido que tengo esos servicios expuestos, tendramos que preguntarnos
que estn buscando y por que llegan hasta mi. Eso solamente lo podemos saber si realizamos un
anlisis de todo lo que se ha producido.
Ok
4 de 20
12/10/16 19:00
Entre los orgenes de los eventos es normal encontrarnos ltimamente a Vietnam en el top. La
respuesta a esto es respondida en el artculo http://securityaairs.co/wordpress/52015/hacking
/mirai-botnet.html (http://securityaairs.co/wordpress/52015/hacking/mirai-botnet.html) y es
debido a la gran cantidad de dispositivos IOT infectados con Mirai y que tienen entre sus objetivos
rangos de IPs espaolas.
Sensor recogiendo informacin de eventos desde Vietnam
Dispositivos detectados por Shodan pertenecientes a Mirai
Ok
El grfico general referido a ataques (no a todos los eventos) de las 24
horas quedara de la siguiente
5 de 20
12/10/16 19:00
manera (Pas origen, ASN, IP y puerto):
Ok
6 de 20
12/10/16 19:00
Ok
7 de 20
12/10/16 19:00
Algunos pases destacados por el nmero de ataques realizados (ASN, IPs y Puerto):
Ok
8 de 20
12/10/16 19:00
La mayor parte de los ataques recibidos tienen origen Europeo y Asitico. Tambin hemos recibido
una pequea parte de ataques desde Espaa.
Ok
9 de 20
12/10/16 19:00
Ok
10 de 20
12/10/16 19:00
Analizando algunas de las IPs que han atacado mi router podemos encontrar los siguientes paneles
de administracin Web que corresponden a cmaras y routers:
Ok
11 de 20
12/10/16 19:00
Ok
12 de 20
12/10/16 19:00
Algunos de ellos no necesitan credenciales para su acceso y otros tienen credenciales por defecto.
Todos ellos han visitado mi router (o quizs algn equipo que est detrs de esa red), se han
conectado a mis puertos seuelo, han descargado muestras de malware, han intentado incluirme en
su botnet, me han usado de pasarela para realizar ataques, entre otras actividades.
Se han descargado varias muestras de malware, entre ellas Mirai:
Ok
13 de 20
12/10/16 19:00
Pero no ha sido el nico malware que han intentado descargar. Puedes ver a continuacin la una
demostracin de la gran cantidad de descargas mediante wget que han intentado realizar:
Una vez observados todos los datos, no deberas preguntartesi tu router domstico ser atacado o
no. Pregntate cuando. Con todo lo expuesto anteriormente creo que ya eres consciente de que
ms tarde o ms temprano te llegar tu turno. Y espero que para entonces no tengas tu panel
expuesto en Internet, o que tus credenciales sean demasiado dbiles o por defecto, o que no hayas
parcheado t, el fabricante o el proveedor del servicio las posibles vulnerabilidades del router o que
no hayas expuesto ms servicios de los necesarios. Quizs ya hayas sido atacado y todava no lo
sepas.
Si no tienes en cuenta estos consejos, quizs sea tu direccin IP la que aparezca en la siguiente lista
de dispositivos vulnerados de cualquiera de mis sensores en las prximas 24 horas.
Saludos a todos.
Fr4n
Twitter: @0fjrm0
Twittear
Ciberataques (https://www.fwhibbit.es/tag/ciberataques), ciberseguridad

(https://www.fwhibbit.es/tag/ciberseguridad), Router (https://www.fwhibbit.es/tag/router),
vulnerabilidades (https://www.fwhibbit.es/tag/vulnerabilidades)
Resumen
Navaja
2K16
Utilizamos
cookies
para Negra
asegurar
que se le proporciona la mejor experiencia en nuestro sitio web. Si usted contina utilizand
Ok
(https://www.fwhibbit.es/resumen-navaja-
14 de 20
12/10/16 19:00
negra-2k16)
2 comentarios en 24 Horas en la vida de mi router

domstico
fram mart dice:
octubre 12, 2016 a las 12:11 pm (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-routerdomestico#comment-55)
Hola no expones en ningn momento la franja horaria en la que realizan los ataques si hay ms
por nuestra franja horaria nocturna o diurna ,Podra ser aconsejable que el router mediante un
pequeo dispositivo (8266) corte la lnea de entrada telefnica y al despertar vuelva a
conectarla quedando el rea local 100% operativa pero no expuesto .Es una forma radical, pero
eficaz as por lo menos 8 horas dejare de estar expuesto,jajaja.
Responder (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-router-domestico?replytocom=55#respond)
Jos Mara Gonzlez Bueno (https://uninformaticoenisbilya.blogspot.com.es)

dice:
octubre 12, 2016 a las 1:10 pm (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-routerdomestico#comment-56)
Fantstico anlisis Fran, muy bien trado al mundo real muchas de las realidades que
constantemente se estn dando en el mundo digital. Con artculos como ste, lo que
absorbemos de l para luego intentar concienciar a la gente, aunque muy poco a poco quiero
pensar que va calando. Que la gente va siendo consciente de que el Internet se parece ms a
una jungla que a un plcido prado y que hay que tomar precauciones.Hay que seguir as.
Responder (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-router-domestico?replytocom=56#respond)
Deja un comentario
Tu direccin de correo electrnico no ser publicada. Los campos obligatorios estn marcados con *
Comentario
Ok
15 de 20
12/10/16 19:00
Nombre *
Correo electrnico *
Web
PUBLICAR COMENTARIO
Buscar
COMENTARIOS RECIENTES
Jos Mara Gonzlez Bueno (https://uninformaticoenisbilya.blogspot.com.es) en 24 Horas en la vida de
mi router domstico (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-routerdomestico#comment-56)
fram mart en 24 Horas en la vida de mi router domstico (https://www.fwhibbit.es/24-horas-en-lavida-de-mi-router-domestico#comment-55)
Belane en Mr. Robot Pwn Phone. El telfono de Elliot DIY (https://www.fwhibbit.es/mr-robotpwn-phone-el-telefono-de-elliot-diy#comment-54)
Belane en Mr. Robot Pwn Phone. El telfono de Elliot DIY (https://www.fwhibbit.es/mr-robotpwn-phone-el-telefono-de-elliot-diy#comment-53)
Alex en Mr. Robot Pwn Phone. El telfono de Elliot DIY (https://www.fwhibbit.es/mr-robot-pwn-phoneel-telefono-de-elliot-diy#comment-52)
Ok
16 de 20
12/10/16 19:00
(http://bitacoras.com/premios16/votar
/6bc82c84f43695c34d62a3dc4abc682b428eb85d)
ENTRADAS
2016 (141) (https://www.fwhibbit.es/2016)
octubre (10) (https://www.fwhibbit.es/2016/10)
24 Horas en la vida de mi router domstico (https://www.fwhibbit.es/24-horas-en-la-vida-de-mi-routerdomestico)
Resumen Navaja Negra 2K16 (https://www.fwhibbit.es/resumen-navaja-negra-2k16)
Fingerprinting III - Cabeceras de respuesta (https://www.fwhibbit.es/fingerprinting-ii-cabecerasde-respuesta)
En parvulitos de criptografa: pasatiempos para hackers nveles (https://www.fwhibbit.es
/en-parvulitos-de-criptografia-pasatiempos-para-hackers-noveles)
Ms seguridad a SSH usando claves RSA (https://www.fwhibbit.es/mas-seguridad-a-ssh-usandoclaves-rsa)
Auditando un Entorno Real II: Wordpress - Revolution Slider (https://www.fwhibbit.es/auditandoun-entorno-real-ii-wordpress-revolution-slider)
Estrenamos Web | Solucin Reto y Anlisis de Ataques (https://www.fwhibbit.es/estrenamosweb-solucion-reto-y-analisis-de-ataques)
Fingerprinting II - Mtodos HTTP (https://www.fwhibbit.es/fingerprinting-ii-metodos-http)
[RETO] Noticia importante en FWHIBBIT (https://www.fwhibbit.es/reto-noticia-importante-en-fwhibbit)
Anlisis bsico de ficheros PCAP (https://www.fwhibbit.es/analisis-basico-de-ficheros-pcap)
septiembre (21) (https://www.fwhibbit.es/2016/09)
agosto (13) (https://www.fwhibbit.es/2016/08)
julio (16) (https://www.fwhibbit.es/2016/07)

Ok
17 de 20
12/10/16 19:00
junio (15) (https://www.fwhibbit.es/2016/06)

mayo (20) (https://www.fwhibbit.es/2016/05)
abril (17) (https://www.fwhibbit.es/2016/04)
marzo (16) (https://www.fwhibbit.es/2016/03)
febrero (13) (https://www.fwhibbit.es/2016/02)
CATEGORAS
Elegir categora
TWITTER
Seguir a @fwhibbit_blog
2.285 seguidores
COLABORADORES
@_N4rr34n6_ (https://www.fwhibbit.es/author/_n4rr34n6_)
Alberto (https://www.fwhibbit.es/author/alberto44)
Alberto (https://www.fwhibbit.es/author/alberto)
Alejandro Caas (https://www.fwhibbit.es/author/metalexcl)
Alvaro Diaz (https://www.fwhibbit.es/author/alvarodiazher)
andatux (https://www.fwhibbit.es/author/andatux)
Belane (https://www.fwhibbit.es/author/belane)
Diego Jurado (https://www.fwhibbit.es/author/diegojurado)
Fran (https://www.fwhibbit.es/author/0fjrm0)
Gonx0 (https://www.fwhibbit.es/author/gonx0)
Hackbier (https://www.fwhibbit.es/author/hackbier)
Hartek (https://www.fwhibbit.es/author/hartek)
hurdano (https://www.fwhibbit.es/author/hurdano)
Jonathan Fernandez (https://www.fwhibbit.es/author/vasco)
Juan Velasco (https://www.fwhibbit.es/author/juanvelasco)

Ok
18 de 20
12/10/16 19:00
Naivenom (https://www.fwhibbit.es/author/naivenom)
Naxhack5 (https://www.fwhibbit.es/author/naxhack5)
Nebu (https://www.fwhibbit.es/author/nebu73)
Pablo Lorenzo (https://www.fwhibbit.es/author/pabloloren)
Ruben Gutierrez (https://www.fwhibbit.es/author/rgutga)
Shargon (https://www.fwhibbit.es/author/shargon)
tnieroky (https://www.fwhibbit.es/author/tnieroky)
META
Acceder (https://www.fwhibbit.es/wp-login.php)
RSS (Really Simple Syndication) de las entradas (https://www.fwhibbit.es/feed)
RSS (Really Simple Syndication) de los comentarios (https://www.fwhibbit.es/comments/feed)
WordPress.org (https://es.wordpress.org/)
ETIQUETAS
anonimato (https://www.fwhibbit.es/tag/anonimato) apache (https://www.fwhibbit.es/tag/apache) ciberseguridad

(https://www.fwhibbit.es/tag/ciberseguridad)
cifrado (https://www.fwhibbit.es
/tag/cifrado) clave (https://www.fwhibbit.es/tag/clave)

/tag/contraespionaje)
contraespionaje (https://www.fwhibbit.es
criptografia (https://www.fwhibbit.es/tag/criptografia) email (https://www.fwhibbit.es/tag/email)
ethical (https://www.fwhibbit.es/tag/ethical) ethical hacking

(https://www.fwhibbit.es/tag/ethical-hacking) etico (https://www.fwhibbit.es/tag/etico) explotacin
enigmail (https://www.fwhibbit.es/tag/enigmail)
(https://www.fwhibbit.es/tag/explotacion) firefox (https://www.fwhibbit.es/tag/firefox)
gnu/linux (https://www.fwhibbit.es
/tag/gnulinux) hacking (https://www.fwhibbit.es/tag/hacking) kali linux (https://www.fwhibbit.es/tag/kali-linux)
linux (https://www.fwhibbit.es/tag/linux) maquinas
(https://www.fwhibbit.es/tag/maquinas) metasploit (https://www.fwhibbit.es/tag/metasploit) meterpreter

(https://www.fwhibbit.es/tag/meterpreter) mr. robot (https://www.fwhibbit.es/tag/mr-robot) openpgp (https://www.fwhibbit.es/tag/openpgp) paranoicos
(https://www.fwhibbit.es/tag/paranoicos) pgp (https://www.fwhibbit.es/tag/pgp) PoC (https://www.fwhibbit.es/tag/poc)
practicas
(https://www.fwhibbit.es/tag/practicas) privacidad (https://www.fwhibbit.es
/tag/privacidad) privada (https://www.fwhibbit.es/tag/privada) publica (https://www.fwhibbit.es
/tag/publica) raspberry (https://www.fwhibbit.es/tag/raspberry) reverse shell (https://www.fwhibbit.es/tag/reverse-shell) seguridad en la red

(https://www.fwhibbit.es/tag/seguridad-en-la-red) server (https://www.fwhibbit.es/tag/server) servidor (https://www.fwhibbit.es/tag/servidor) ssh
Utilizamos
cookies para asegurar
que
se le proporciona la mejortor
experiencia
en nuestro sitio web. Si usted contina utilizand
(https://www.fwhibbit.es/tag/ssh)
thunderbird
(https://www.fwhibbit.es/tag/thunderbird)
(https://www.fwhibbit.es/tag/tor)
suponemos
que usted esta de acuerdo
Ok
virtualbox (https://www.fwhibbit.es/tag/virtualbox)
virtuales (https://www.fwhibbit.es/tag/virtuales)
virtualizacion (https://www.fwhibbit.es
19 de 20
12/10/16 19:00
/tag/virtualizacion)
VMware (https://www.fwhibbit.es/tag/vmware) vpn (https://www.fwhibbit.es
/tag/vpn) web (https://www.fwhibbit.es/tag/web) wifi (https://www.fwhibbit.es/tag/wifi)
DERECHOS DE AUTOR
Este obra est bajo una licencia de Creative Commons Reconocimiento-NoComercial-SinObraDerivada

4.0 Internacional. (https://creativecommons.org/licenses/by-nc-nd/4.0/)
Ok
20 de 20
12/10/16 19:00

24 Horas de La Vida de Un Router Domestico

Caricato da

Informazioni sul documento

Copyright

Formati disponibili

Condividi questo documento

Condividi o incorpora il documento

Opzioni di condivisione

Hai trovato utile questo documento?

Questo contenuto è inappropriato?

Copyright:

Formati disponibili

24 Horas de La Vida de Un Router Domestico

Caricato da

Copyright:

Formati disponibili

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico

24 Horas en la vida de mi router domstico Foll...

Qu ocurrira si un atacante consiguiera acceder a la configuracin DNS de tu router y

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

Sensor recogiendo informacin de eventos desde Vietnam

Dispositivos detectados por Shodan pertenecientes a Mirai

24 Horas en la vida de mi router domstico Foll...

manera (Pas origen, ASN, IP y puerto):

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

Ciberataques (https://www.fwhibbit.es/tag/ciberataques), ciberseguridad

24 Horas en la vida de mi router domstico Foll...

2 comentarios en 24 Horas en la vida de mi router

Jos Mara Gonzlez Bueno (https://uninformaticoenisbilya.blogspot.com.es)

24 Horas en la vida de mi router domstico Foll...

24 Horas en la vida de mi router domstico Foll...

julio (16) (https://www.fwhibbit.es/2016/07)

suponemos que usted esta de acuerdo

24 Horas en la vida de mi router domstico Foll...

junio (15) (https://www.fwhibbit.es/2016/06)

Juan Velasco (https://www.fwhibbit.es/author/juanvelasco)

suponemos que usted esta de acuerdo

24 Horas en la vida de mi router domstico Foll...

anonimato (https://www.fwhibbit.es/tag/anonimato) apache (https://www.fwhibbit.es/tag/apache) ciberseguridad

/tag/cifrado) clave (https://www.fwhibbit.es/tag/clave)

criptografia (https://www.fwhibbit.es/tag/criptografia) email (https://www.fwhibbit.es/tag/email)

ethical (https://www.fwhibbit.es/tag/ethical) ethical hacking

(https://www.fwhibbit.es/tag/explotacion) firefox (https://www.fwhibbit.es/tag/firefox)

/tag/gnulinux) hacking (https://www.fwhibbit.es/tag/hacking) kali linux (https://www.fwhibbit.es/tag/kali-linux)

linux (https://www.fwhibbit.es/tag/linux) maquinas

(https://www.fwhibbit.es/tag/maquinas) metasploit (https://www.fwhibbit.es/tag/metasploit) meterpreter

(https://www.fwhibbit.es/tag/practicas) privacidad (https://www.fwhibbit.es

/tag/privacidad) privada (https://www.fwhibbit.es/tag/privada) publica (https://www.fwhibbit.es

/tag/publica) raspberry (https://www.fwhibbit.es/tag/raspberry) reverse shell (https://www.fwhibbit.es/tag/reverse-shell) seguridad en la red

24 Horas en la vida de mi router domstico Foll...

VMware (https://www.fwhibbit.es/tag/vmware) vpn (https://www.fwhibbit.es

/tag/vpn) web (https://www.fwhibbit.es/tag/web) wifi (https://www.fwhibbit.es/tag/wifi)

Este obra est bajo una licencia de Creative Commons Reconocimiento-NoComercial-SinObraDerivada

Potrebbero piacerti anche