Actores cibernéticos han aprovechado una vulnerabilidad no parcheada (CVE-2025-1316, CVSS v4: 9.3) en cámaras de red Edimax IC-7100 desde mayo de 2024.
Vulnerabilidad y mecanismos de explotación
La vulnerabilidad permite la ejecución remota de código (RCE) mediante solicitudes maliciosamente estructuradas. El exploit se dirige al endpoint /camera-cgi/admin/param.cgi, inyectando comandos en el parámetro NTP_serverName bajo la opción ipcamSource.
La explotación requiere autenticación, pero se ha documentado el uso de credenciales por defecto (admin:1234) para eludir controladores de acceso.
Prueba de concepto y variantes de Mirai
Una prueba de concepto (PoC) para esta vulnerabilidad circula públicamente desde junio de 2023. Se han identificado dos variantes de Mirai asociadas a esta campaña.
Una variante incorpora mecanismos anti-depuración antes de ejecutar un script de shell que descarga payloads maliciosos adaptados a múltiples arquitecturas (ARM, MIPS, x83).
Objetivo operativo y explotación paralela
El objetivo operativo es la consolidación de una infraestructura de red comprometida para orquestar ataques DDoS distribuidos mediante protocolos TCP/UDP.
Se observa la explotación paralela de otras vulnerabilidades, incluyendo CVE-2024-7214 (dispositivos TOTOLINK), CVE-2021-36260 (cámaras Hikvision) y fallos en Hadoop YARN.
Respuesta de Edimax y riesgos identificados
Edimax confirmó que los equipos afectados pertenecen a modelos fuera de su ciclo de vida operativo (sin soporte desde hace una década).
Akamai enfatiza que el firmware obsoleto en dispositivos IoT representa un vector crítico para la proliferación de botnets.
Recomendaciones y mitigaciones
Migración a dispositivos con firmware actualizado.
Restricción de exposición a interfaces WAN mediante políticas de segmentación de red.
Rotación de credenciales predeterminadas bajo políticas de gestión de contraseñas robustas.
Monitorización proactiva de logs de acceso para detectar patrones anómalos.