Grupos de ataque militares rusos están utilizando routers Ubiquiti EdgeRouter comprometidos para evadir la detección, según un aviso conjunto emitido por el FBI, la NSA, el Comando Cibernético de EE.UU. y socios internacionales. Estos dispositivos son utilizados por ciberespías de la Unidad Militar 26165, parte de la Dirección Principal de Inteligencia del Estado Mayor (GRU) de Rusia, identificados como APT28 y Fancy Bear.
Los atacantes emplean estos routers secuestrados para construir redes de bots que les permiten robar credenciales y recopilar hashes NTLMv2. También se utilizan para alojar herramientas personalizadas y páginas de inicio de phishing en operaciones cibernéticas encubiertas dirigidas a militares, gobiernos y otras organizaciones globales.
El aviso destaca que los EdgeRouters suelen ser enviados con credenciales predeterminadas y protecciones de firewall limitadas o nulas para adaptarse a proveedores de servicios inalámbricos (WISP). Además, no actualizan automáticamente el firmware a menos que un consumidor los configure para hacerlo.
A principios de este mes, el FBI desbarató una botnet de Ubiquiti EdgeRouters infectados con el malware Moobot. El grupo de hackers ruso reutilizó esta infraestructura para construir una herramienta de ciberespionaje global. En sus ataques, los actores apuntaron a vulnerabilidades Zero-Day, incluida la crítica CVE-2023-23397 en Microsoft Outlook, aprovechada para recopilar hashes NTLMv2.
Los atacantes también instalaron herramientas disponibles públicamente como Impacket ntlmrelayx.py y Responder, para ayudar con ataques de retransmisión NTLM y alojar servidores de autenticación NTLMv2 maliciosos. Actualmente hay exploits activos.
Además, se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2023-31998 en Ubiquiti EdgeRouter. Esta vulnerabilidad en el miniupnpd permite a los atacantes ejecutar código arbitrario desde LAN. También hay exploits activos relacionados.
El FBI descubrió varias herramientas y artefactos de APT28 durante la investigación, incluyendo scripts de Python para robar credenciales de correo web, programas para recopilar hashes NTLMv2 y reglas de enrutamiento personalizadas que redirigían el tráfico a una infraestructura de ataque dedicada.
Recomendaciones para mitigar la amenaza
El FBI recomienda las siguientes medidas para deshacerse de la infección y bloquear el acceso de APT28 a los routers comprometidos:
- Realizar un restablecimiento de fábrica del hardware para eliminar los sistemas de archivos maliciosos
- Actualizar a la última versión de firmware
- Cambiar los nombres de usuario y contraseñas predeterminados
- Implementar reglas de firewall estratégicas en las interfaces del lado WAN para evitar la exposición no deseada a servicios de administración remota.
El FBI busca información sobre la actividad de APT28 en EdgeRouters hackeados para evitar un mayor uso de estas técnicas y responsabilizar a los responsables.