¿Cómo las cosas “inocentes” se convierten en Thingbots?
Usemos la botnet Mirai, la que está detrás de los ataques mencionados anteriormente como un ejemplo de cómo funcionan las cosas. Actualmente compuesto por alrededor de 500,000 dispositivos IoT comprometidos (por ejemplo, cámaras de vigilancia, enrutadores y grabadoras de video digital [DVR]) en todo el mundo, Mirai está constantemente buscando y apuntando a dispositivos con credenciales administrativas predeterminadas comúnmente utilizadas. Mediante el uso de ataques de diccionario, se estima que estos dispositivos específicos pueden verse comprometidos o asumidos por Mirai en aproximadamente 10 minutos.
La raíz del problema son las malas prácticas de autenticación. Esas contraseñas predeterminadas están codificadas en el dispositivo durante el proceso de fabricación y, como indica el tamaño de Mirai, a menudo nunca se actualizan nuevamente, dejándolas listas para ser explotadas por Mirai o algún otro tipo de botnet.
- Quiero especializarme en seguridad del sistema y piratería ética, ¿qué necesito saber y hacer?
- ¿Qué es un anti spyware?
- Cómo proteger con contraseña un archivo o carpeta de mí mismo y enviar la contraseña a alguien
- ¿Los desarrolladores de aplicaciones móviles no están muy preocupados por los aspectos de seguridad durante el desarrollo?
- ¿Por qué no podemos crear seguridad que mantenga alejados a los piratas informáticos?
Las mejores prácticas para que los fabricantes de dispositivos eviten las botnets
Echemos un vistazo a algunas de las mejores prácticas que los fabricantes deben tener en cuenta para ayudar a proteger sus dispositivos de convertirse en bots desde el principio.
Considere limitar las capacidades de los dispositivos: ¿necesitan acceso remoto?
¿Es necesario acceder a estos dispositivos y administrarlos de forma remota? ¿Se puede eliminar efectivamente la autenticación en el entorno del dispositivo? Eliminar esta capacidad cerraría el agujero que Mirai está utilizando actualmente para acceder y hacerse cargo de los dispositivos.
Si necesita acceso remoto, implemente una autenticación de dispositivo segura
Mirai aprovecha los peores aspectos de las contraseñas de dispositivos: las contraseñas predeterminadas rara vez se cambian y rara vez son únicas, a menudo se reutilizan en un lote de dispositivos. OWASP tiene una excelente guía básica sobre la política de contraseñas para los fabricantes de dispositivos IoT que podría ayudar a prevenir este tipo de ataque en el futuro, pero sugeriríamos mirar más allá de la contraseña solo al considerar métodos de autenticación fuertes.
Por ejemplo, PKI ofrece múltiples beneficios para una autenticación de dispositivo fuerte. Primero, la tecnología es muy difícil, si no técnicamente inviable para la falsificación. Usarlo como parte del proceso de autenticación evita los ataques de autenticación basados en el diccionario, como los utilizados por Mirai.
PKI también le brinda la capacidad de utilizar credenciales de autenticación únicas para las entidades de autenticación (tanto del dispositivo como del servicio). En el momento de la construcción del dispositivo, es mejor incluir credenciales de autenticación de dispositivo únicas por dispositivo, en lugar de usar credenciales de autenticación compartidas o comunes para una variedad de dispositivos. Aún mejor es aprovechar los elementos de seguridad de hardware para proteger las claves privadas en los dispositivos y evitar que las credenciales sean robadas o migradas fuera de los dispositivos mismos.
Solución
Los profesionales de ciberseguridad deberían fortalecer las redes contra la posibilidad de un ataque DDoS. Para obtener más información sobre los ataques DDoS, consulte la Guía rápida de DDoS de la publicación de seguridad US-CERT y la Alerta US-CERT sobre los ataques de amplificación basados en UDP.
Mitigación
Para eliminar el malware Mirai de un dispositivo IoT infectado, los usuarios y administradores deben realizar las siguientes acciones:
- Desconecte el dispositivo de la red.
- Mientras está desconectado de la red e Internet, reinicie. Debido a que el malware Mirai existe en la memoria dinámica, al reiniciar el dispositivo se borra el malware [11 (el enlace es externo)].
- Asegúrese de que la contraseña para acceder al dispositivo haya cambiado de la contraseña predeterminada a una contraseña segura. Consulte Consejo de US-CERT Cómo elegir y proteger las contraseñas para obtener más información.
- Debe volver a conectarse a la red solo después de reiniciar y cambiar la contraseña. Si se vuelve a conectar antes de cambiar la contraseña, el dispositivo podría reinfectarse rápidamente con el malware Mirai.
Pasos preventivos
Para evitar una infección de malware en un dispositivo IoT, los usuarios y administradores deben tomar las siguientes precauciones:
- Asegúrese de que todas las contraseñas predeterminadas se cambien a contraseñas seguras. Los nombres de usuario y contraseñas predeterminados para la mayoría de los dispositivos se pueden encontrar fácilmente en Internet, lo que hace que los dispositivos con contraseñas predeterminadas sean extremadamente vulnerables.
- Actualice los dispositivos IoT con parches de seguridad tan pronto como estén disponibles.
- Deshabilite Universal Plug and Play (UPnP) en los enrutadores a menos que sea absolutamente necesario. [12 (el enlace es externo)]
- Compre dispositivos IoT a compañías con reputación de proporcionar dispositivos seguros.
- Los consumidores deben conocer las capacidades de los dispositivos y electrodomésticos instalados en sus hogares y negocios. Si un dispositivo viene con una contraseña predeterminada o una conexión Wi-Fi abierta, los consumidores deben cambiar la contraseña y solo permitirle operar en una red doméstica con un enrutador Wi-Fi seguro.
- Comprenda las capacidades de cualquier dispositivo médico destinado al uso en el hogar. Si el dispositivo transmite datos o se puede operar de forma remota, tiene el potencial de infectarse.
- Monitoree el puerto 2323 / TCP del Protocolo de Internet (IP) y el puerto 23 / TCP en busca de intentos de obtener control no autorizado sobre dispositivos IoT utilizando el protocolo de terminal de red (Telnet). [13 (el enlace es externo) (el enlace es externo)]
- Busque tráfico sospechoso en el puerto 48101. Los dispositivos infectados a menudo intentan propagar malware utilizando el puerto 48101 para enviar resultados al actor de la amenaza.
Referencias
- [1] KrebsOnSecurity: KrebsOnSecurity Hit With Record DDoS
