La seguridad del enrutador del consumidor es bastante mala. Los atacantes se están aprovechando de los fabricantes descuidados y atacando grandes cantidades de enrutadores. A continuación, le indicamos cómo verificar si su enrutador se ha visto comprometido.

El mercado de enrutadores domésticos se parece mucho al mercado de teléfonos inteligentes Android. Los fabricantes están produciendo un gran número de dispositivos diferentes y no se molestan en actualizarlos, dejándolos abiertos a ataques.

Cómo su enrutador puede unirse al lado oscuro

Los atacantes a menudo buscan cambiar la configuración del servidor DNS en su enrutador, apuntándolo a un servidor DNS malicioso. Cuando intenta conectarse a un sitio web, por ejemplo, el sitio web de su banco, el servidor DNS malicioso le dice que vaya a un sitio de phishing. Todavía puede decir bankofamerica.com en su barra de direcciones, pero estará en un sitio de phishing. El servidor DNS malicioso no responde necesariamente a todas las consultas. Simplemente puede salir del tiempo de espera en la mayoría de las solicitudes y luego redirigir las consultas al servidor DNS predeterminado de su ISP. Las solicitudes de DNS inusualmente lentas son una señal de que puede tener una infección.

Las personas de ojos agudos pueden notar que un sitio de phishing de este tipo no tendrá cifrado HTTPS, pero muchas personas no lo notarían. Los ataques de eliminación de SSL pueden incluso eliminar el cifrado en tránsito.

Los atacantes también pueden simplemente inyectar anuncios, redirigir los resultados de búsqueda o intentar instalar descargas automáticas. Pueden capturar solicitudes de Google Analytics u otros scripts que casi todos los sitios web usan y redirigirlos a un servidor que proporciona un script que en su lugar inyecta anuncios. Si ve anuncios pornográficos en un sitio web legítimo como How-To Geek o el New York Times, es casi seguro que está infectado con algo, ya sea en su enrutador o en su computadora.

Muchos ataques hacen uso de ataques de falsificación de solicitudes entre sitios (CSRF). Un atacante incrusta JavaScript malicioso en una página web, y ese JavaScript intenta cargar la página de administración basada en web del router y cambiar la configuración. Como JavaScript se ejecuta en un dispositivo dentro de su red local, el código puede acceder a la interfaz web que solo está disponible dentro de su red.

Algunos enrutadores pueden tener sus interfaces de administración remota activadas junto con nombres de usuario y contraseñas predeterminados: los bots pueden buscar dichos enrutadores en Internet y obtener acceso. Otros exploits pueden aprovechar otros problemas del router. UPnP parece ser vulnerable en muchos routers, por ejemplo.

Cómo comprobarlo

La única señal reveladora de que un enrutador se ha visto comprometido es que su servidor DNS ha sido cambiado. Querrá visitar la interfaz basada en la web de su enrutador y verificar su configuración de servidor DNS.

Primero, deberá acceder a la página de configuración basada en la web de su enrutador. Compruebe la dirección de la puerta de enlace de su conexión de red o consulte la documentación de su router para averiguar cómo.

Inicie sesión con el nombre de usuario y la contraseña de su enrutador, si es necesario. Busque una configuración de “DNS” en algún lugar, a menudo en la pantalla de configuración de conexión WAN o Internet. Si está configurado en “Automático”, está bien, es obtenerlo de su ISP. Si está configurado en “Manual” y hay servidores DNS personalizados ingresados allí, eso podría ser un problema.

No hay problema si ha configurado su enrutador para usar buenos servidores DNS alternativos, por ejemplo, 8.8.8.8 y 8.8.4.4 para Google DNS o 208.67.222.222 y 208.67.220.220 para OpenDNS. Pero, si hay servidores DNS allí que no reconoce, eso es una señal de que el malware ha cambiado su enrutador para usar servidores DNS. En caso de duda, realice una búsqueda web de las direcciones del servidor DNS y vea si son legítimas o no. Algo como “0.0.0.0” está bien y, a menudo, solo significa que el campo está vacío y el enrutador obtiene automáticamente un servidor DNS.

Los expertos aconsejan verificar esta configuración de vez en cuando para ver si su enrutador se ha visto comprometido o no.

¡Ayuda, hay un servidor DNS malicioso!

Si hay un servidor DNS malicioso configurado aquí, puede deshabilitarlo y decirle a su enrutador que use el servidor DNS automático de su ISP o ingresar las direcciones de servidores DNS legítimos como Google DNS u OpenDNS aquí.

Si hay un servidor DNS malicioso ingresado aquí, es posible que desee borrar toda la configuración de su enrutador y restablecerlo de fábrica antes de volver a configurarlo, solo para estar seguro. Luego, use los trucos a continuación para ayudar a proteger el enrutador contra más ataques.

Endurecimiento de su enrutador contra ataques

Ciertamente puede fortalecer su enrutador contra estos ataques, de alguna manera. Si el enrutador tiene agujeros de seguridad que el fabricante no ha parcheado, no puede asegurarlo por completo.

• Instalar actualizaciones de firmware: Asegúrese de que el firmware más reciente para su router esté instalado. Habilite las actualizaciones automáticas de firmware si el enrutador lo ofrece; desafortunadamente, la mayoría de los enrutadores no lo hacen. Esto al menos garantiza que esté protegido de cualquier defecto que haya sido parcheado.
• Deshabilitar el acceso remoto: Deshabilite el acceso remoto a las páginas de administración basadas en web del router.
• Cambiar la contraseña: Cambie la contraseña a la interfaz de administración basada en la web del enrutador para que los atacantes no puedan simplemente entrar con la predeterminada.
• Desactivar UPnP: UPnP ha sido particularmente vulnerable. Incluso si UPnP no es vulnerable en su enrutador, una pieza de malware que se ejecuta en algún lugar dentro de su red local puede usar UPnP para cambiar su servidor DNS. Así es como funciona UPnP: confía en todas las solicitudes que provienen de su red local.

Se supone que DNSSEC proporciona seguridad adicional, pero no es la panacea aquí. En el mundo real, cada sistema operativo cliente simplemente confía en el servidor DNS configurado. El servidor DNS malicioso podría afirmar que un registro DNS no tiene información DNSSEC, o que sí tiene información DNSSEC y que la dirección IP que se pasa es la real.

Crédito de la imagen: nrkbeta en Flickr