Una botnet basada en el malware Corona Mirai está aprovechando una vulnerabilidad de ejecución remota de código (RCE) descubierta hace cinco años para infectar cámaras IP AVTECH. La falla, identificada como CVE-2024-7029, permite a atacantes no autenticados inyectar comandos en dispositivos afectados.
Vulnerabilidad en la función de brillo
La vulnerabilidad se encuentra en la función «brillo» del firmware de las cámaras AVTECH, específicamente en el parámetro «action=». Los atacantes pueden explotar esta brecha mediante solicitudes especialmente diseñadas para inyectar comandos a través de la red.
Modelos afectados y falta de parche
CVE-2024-7029 afecta a todas las cámaras IP AVTECH AVM1203 que ejecutan versiones de firmware hasta Fullmg-1023-1007-1011-1009. Estos modelos ya no reciben soporte del proveedor, ya que alcanzaron el final de su vida útil (EoL) en 2019. Por lo tanto, no hay parche disponible para abordar esta vulnerabilidad.
Advertencia de CISA y explotaciones
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) publicó un aviso sobre CVE-2024-7029, advirtiendo que las cámaras aún se utilizan en instalaciones comerciales, servicios financieros, atención médica y sistemas de transporte. Además, se informa la disponibilidad pública de exploits desde al menos 2019.
Actividad de Corona Mirai
Corona es una variante del malware Mirai que ha estado activa desde al menos 2020. Según el análisis de Akamai, la botnet comenzó a aprovechar CVE-2024-7029 en ataques dirigidos a cámaras AVM1203 en marzo de 2024. La primera campaña activa se detectó el 18 de marzo, aunque se observó actividad para esta variante ya en diciembre de 2023.
Exploits y descarga del malware
Los ataques Corona utilizan CVE-2024-7029 para descargar y ejecutar un archivo JavaScript, que carga la carga principal de la botnet en el dispositivo. Una vez anidado, el malware se conecta a sus servidores de comando y control (C2) y espera instrucciones para realizar ataques distribuidos de denegación de servicio (DDoS).
Otras vulnerabilidades explotadas por Corona
- CVE-2017-17215: Vulnerabilidad en los enrutadores Huawei que permite la ejecución remota de comandos mediante una validación inadecuada del servicio UPnP.
- CVE-2014-8361: Vulnerabilidad RCE en el SDK Realtek, comúnmente encontrada en enrutadores de consumo.
- Hadoop YARN RCE: Vulnerabilidades dentro del sistema Hadoop YARN que permiten la ejecución remota de código en clústeres de Hadoop.
Recomendaciones para usuarios
Se recomienda a los usuarios de cámaras IP AVTECH AVM1203 desconectarlas inmediatamente y reemplazarlas por modelos más nuevos con soporte activo. Las cámaras suelen estar expuestas a Internet, lo que las convierte en objetivos atractivos para actores de amenazas.
Es fundamental mantener la última versión del firmware para garantizar la corrección de errores conocidos. Si un dispositivo deja de fabricarse, debe reemplazarse por modelos más nuevos para seguir recibiendo actualizaciones de seguridad.
También se recomienda cambiar las credenciales predeterminadas por contraseñas seguras y únicas, separándolas de las redes críticas o de producción.