Hackers russos infectam routers Ubiquiti

Foi detectada uma campanha de ataque de hackers russos que usa EdgeRouters da Ubiquiti para disfarçar as suas actividades.

Este grupo de hackers, designado por APT28, Fancy Bear, ou Military Unit 26165, é um dos mais activos, e que merece o máximo cuidado. No entanto, desta vez estes ataques não tiram partido de nenhuma vulnerabilidade 0-day, mas apenas da falta de cuidado dos utilizadores.

Independentemente do fabricante, um router é um dos equipamentos mais apetecíveis para hackers, já que quase sempre se trata de um mini-computador imensamente versátil e que tem ligação permanente à internet. Adicionalmente, também se torna difícil para um utilizador comum detectar comportamentos anómalos do seu router, especialmente se os hackers tiverem o cuidado de moderar o uso que lhe dão. Neste caso, simplesmente apontaram aos EdgeRouters da Ubiquiti por serem equipamentos populares, tirando partido do descuido ou desconhecimento dos utilizadores que não alteraram as passwords. Dessa forma, ficaram com a porta aberta para lhes instalar malware e os adicionar à sua botnet.

Para quem se vir nessa situação, a recomendação passa por:

• Fazer um reset de fábrica para limpar as possíveis infecções
• Actualizar para o firmware mais recente
• Alterar os usenames e passwords que vêm de fábrica
• Aplicar regras de firewall para minimizar a exposição a ataques remotos

Também ajudará ter uma ideia aproximada do nível de dados / tráfego mensal, para ir controlando e ficar alerta em caso de se detectar alguma discrepância sem explicação aparente.