RFC5737: IP públicas para documentación

Hace poco encontré un tweet que menciona el RFC 5737, el cual define ciertos rangos de direccionamiento IP público que pueden ser destinados para uso de documentación, labs, etc.

Dichos rangos, que eran desconocidos para mí, son útiles en caso que se requiera de algún entorno especial. Ya que no «lucen» como un IP Privado.

Los rangos en cuestión son:

  • 192.0.2.0/24
  • 198.51.100.0/24
  • 203.0.113.0/24

Mas información en el RFC5737.

vía: Twitter

Echobot: Malware Mirai-like con un plus adicional.

En las últimas semanas me estoy dedicando a conocer cómo actúan los malwares, botnets entre otros ya que estoy desarrollando una aplicación de seguridad para empresas que ayuda a protegerse de dichos ataques.

La mayoría de los malware Mirai-like son bastante conocidos desde hacen años y sus ataques están orientado principalmente a IoT o similares (Televisores Smart, Teléfonos Inteligentes, Cámaras IP, etc).

Los malwares por si mismo no aportan nada nuevo al código fuente original de Mirai, lo cual no es una sorpresa porque el código se ha mantenido sin cambios durante años y se puede leer un poco mas sobre sus acciones en este enlace.

De acuerdo a las investigaciones de las principales empresas de seguridad han encontrado un nuevo malware llamado Echobot al que le han agregado unos módulos adicionales al código fuente original de Mirai.

De hecho cuando fue descubierto por primera vez (por Palo Alto Networks) a principio de Junio, Echobot explotaba unas 18 vulnerabilidades. Según el último informe de Akamai, una semana después, Echobot explotaba unas 26.

Echobot ademas de tener los viejos exploit (como los otros malwares), tiene un agregado adicional, la posibilidad de infectar a dispositivos y que éstos mismos se dediquen a encontrar nuevos host que puedan ser atacados y de esa manera ir expandiendo su accionar.

Un articulo de ZDnet muestra el listado de los dispositivos / marcas que son atacados por este Malware y encontramos diferentes marcas conocidas como Ubiquiti, Realtek, Cámaras IP, etc.

Es importante tener actualizados los sistemas operativos y tomar las precauciones necesarias para evitar tener infecciones en nuestra red. Hay que tener en cuenta que ha ido creciendo notablemente la cantidad de dispositivos infectados a nivel mundial y sin las medidas de seguridad mínimas estamos predispuestos a ser atacados.

En el artículo mencionado explica con mas detalles como es el funcionamiento de Echobot.

MKE Solutions partner oficial de Fastnetmon

Desde la semana pasada, MKE Solutions es oficialmente partner de FastNetMon, una solución especializada en detección de ataques DDoS.

La experiencia en la implementación de FastNetMon Advanced ha sido excelente, hemos podido aplicarlo a diferentes clientes con tamaños de redes de todas las escalas. Desde ISP con 100mbps hasta grandes proveedores con 80Gbps de capacidad.

A la solución ya la he presentado en varias ocaciones, de hecho hubo una charla que brinde en el MUM de Guatemala 2017 , en donde explico sus bondades (de la versión Community) y como se implementa con MikroTik RouterOS.

Para el caso de las ultimas implementaciones, lo estamos haciendo con la versión FastNetMon Advanced, ya que posee algunas características adicionales a la Community, como por ejemplo el soporte de IPv6, API entre otros.

Hemos creado un sitio especial para mostrar la solución FastNetmon y también el panel web (FNM Manager) que hemos desarrollado para poder administrarlo directamente via web, sin necesidad de cli.

En MKE Solutions estamos otorgando licencias trial de 30 días para implementar FastNetMon y poder probar su efectividad.

Impresionante rendimiento de RouterOS v7 y BGP

Se está viralizando un video creado por los amigos de TheBrothers WISP, en donde están probando la versión v7 de RouterOS, mas precisamente la v7.0beta99.

El video muestra un CCR 1016 en donde tiene peering con 6 peer BGP, en donde maneja mas de 3.5 millones de rutas y le lleva alrededor de 3 minutos procesarlas. Se puede apreciar el buen rendimiento del nuevo motor de BGP que está preparando MikroTik, con soporte multicore.

A medida que van cargando las rutas, la carga del CPU se reparte en los cores y aunque llegan al 100%, puede procesarlas sin inconvenientes.

Habrá que esperar que es lo que nos depara MikroTik en esta nueva versión de RouterOS v7, que al parecer, el unicornio (como le llaman a la v7) ya esta apareciendo y ya está dejando de verse algo lejano.

Usas IPv6 con MikroTik RouterOS. Cuidado!

Hace un par de días se ha hecho público que existe una vulnerabilidad en MikroTik RouterOS, la CVE-2018-19298 (MikroTik IPv6 Neighbor Discovery Protocol exhaustion).

Mientras se realizaba una investigación sobre dicha vulnerabilidad, se encontraron con un gran números de problemas en cómo RouterOS maneja los paquetes IPv6. De esto se desprende la CVE-2018-19299, la cual aún no ha sido publicado y que aún no está solucionada.

Marek, un investigador de seguridad, ha publicado en su cuenta de Twitter, que le ha comunicado a MikroTik sobre dicha vulnerabilidad hace más de 50 semanas y que aún no se tiene una solución al respecto.

El gran problema que existe, es que el 9 de abril se realizará la UKNOF43, un forum de operadores de redes del Reino Unido y en dicho evento Marek expondrá y publicará un gran número de vulnerabilidades con respecto a IPv6 y RouterOS, de hecho el título de su presentación es «Scanning IPv6 Address Space… and the remote vulnerabilities it uncovers«.

During some research which found CVE-2018-19298 (MikroTik IPv6 Neighbor Discovery Protocol exhaustion), I uncovered a larger problem with MikroTik RouterOS’s handling of IPv6 packets. This led to CVE-2018-19299, an unpublished and as yet unfixed (despite almost one year elapsing since vendor acknowledgement) vulnerability in RouterOS which allows for remote, unauthenticated denial of service. Unpublished… until UKNOF 43!

https://indico.uknof.org.uk/event/46/contributions/667/

Me comunique con uno de los técnicos que está investigando el tema (que es trainer de MikroTik) y me comentó que es un gran problema, porque con un solo paquete IPv6 malformado se puede atacar a cualquier RouterOS con el paquete IPv6 activo, y más aún si trabaja como router, porque al recibir el paquete malformado, lo reenvía (forward) y se reinicia (crashea), logrando un ataque en cadena.

Esto no es un ataque de DDoS porque no se requiere un gran volumen de tráfico, con sólo un paquete malformado es posible realizar un ataque en cadena, reiniciando todos los routers que se encuentran en el camino (MikroTik RouterOS con IPv6 activo).

Cómo mencione anteriormente, el descubridor de estas vulnerabilidades se ha comunicado con MikroTik hace más de 1 año y aún no ha tenido otra respuesta mas que «lo arreglaremos«. Han sido publicada más de veinte release de RouterOS desde que MikroTik tiene conocimiento del problema y no ha sido corregido.

La cuenta regresiva ha comenzado, porque el 9 de Abril se harán públicas las vulnerabilidades y, si no ha sido corregida, puede armar un desastre a nivel global.

Hay un hilo en el foro de MikroTik en donde los usuarios están comentando del tema y exigiendo a MikroTik que tome cartas en el asunto y publiqué una solución antes de la fecha límite.

Estaré publicando cualquier novedad al respecto. Esperemos que todo salga bien.

UKNOF presentation where this issue will be disclosed in full: https://indico.uknof.org.uk/event/46/contributions/667/
CVE reporthttps://cve.mitre.org/cgi-bin/cvename.c … 2018-19299

Entrenamientos MikroTik MTCNA & MTCTCE en Río Cuarto, Argentina

Se impartirá en la ciudad de Río Cuarto, Argentina, las certificaciones MikroTik MTCNA y MTCTCE los días 18 al 20 y del 21 al 22 de Febrero, respectivamente.

La certificación MTCTCE -Security Edition- está enfocada principalmente en Seguridad, abordará temas como Firewall Avanzado, Protección contra DDoS, Sistemas de Prevención y Detección de Intrusos, etc.

Los lugares limitados. Promoción Combo y Pronto Pago.

Más información en Academia de Entrenamientos

MUM Argentina 2018: Utilizando RouterOS como IPS/IDS (II)

La semana pasada se realizó el MikroTik User Meeting en Buenos Aires, Argentina.

La verdad que la pase muy bien, me pude reencontrar con muchos amigos de todos lados. La ventaja que tiene este tipo de evento es que eso, el poder juntar en un solo lugar muchas personas del palo. 

Asistieron casi 500 personas de acuerdo a lo que comentaron los chicos de MikroTik, si bien hubo una gran afluencia en el lugar, hubo un déficit con la cantidad de expositores. Se tuvo que alargar el inicio del evento a las 10 de la mañana y finalizarlo a las 16 horas aproximadamente, debido a que faltaron expositores.

Esperemos que para la próxima se puedan animar a participar y que sobren presentaciones –como sucede en Brasil que dejaron fuera casi 20 presentadores porque estaban completos los «slots time«-, así puede continuar con 2 días de duración, sino en un futuro serán de 1 solo dia los MUM en Argentina, como sucede en los países que tienen poca cantidad de oradores.

He consultado a varios que sé que tienen algo que compartir por su experiencia, él porqué no se animaban a dar alguna charla de algo que pueda servir a la comunidad o algunas buenas prácticas y la respuesta suele ser la misma; el miedo a que te pregunten algo y no saber qué responder. 

Mi respuesta para eso, es que no se viene a dar una clase o a que te tomen un examen, sino que se viene a compartir una experiencia en base a nuestro trabajo; que otras personas pueden haber resuelto de manera diferente lo mismo pero ese no es el punto, lo que importa es el compartir para poder difundir y de esa manera también tener retroalimentación escuchando otras vivencias.

En fin, esperemos que para la próxima se animen más.

Les dejo a continuación el PDF con la charla que di sobre «Utilizando RouterOS como IPS/IDS (II)«, la cual es la continuación de la presentación que dí en el MUM de Paraguay en el 2017.

En los próximos días estaré agregando el video de la presentación cuando esté disponible.

MUM ARGENTINA 2018 – Utilizando RouterOS como IPS / IDS (II)

 

 

Reporte de Avast: Campaña de criptomoneda vulnerando MikroTik

La empresa de seguridad / antivirus Avast ha publicado un reporte que habla de MikroTik y de la manera que fueron explotadas las vulnerabilidades del Sistema Operativo para poder hacer minería.

Según el reporte hasta el 15 de Octubre, Avast bloqueo unas 22 millones peticiones para la campaña de minería JS:InfectedMikroTik.

mikrotik-router-attacks-blocked-by-avast

En el ranking tenemos a Brasil y Polonia como los países con más infectados, le siguen Indonesia y Argentina.

El informe es muy completo y detallado, en donde podemos conocer la manera que fue expandiéndose e infectando a los usuarios. 

Vale la pena leerlo y conocer más al detalle la situación de seguridad.

Entrenamientos MTCNA & MTCRE en Buenos, Aires. Previo al MUM

Durante la primer semana de noviembre se realizará en las oficinas de CABASE, el dictado de las certificaciones MTCNA y MTCRE; días previos al MikroTik User Meeting Argentina.

El MTCNA del 6 al 8 y el MTCRE del 12 al 13 de Noviembre. 

Promoción Pronto Pago!. Últimos Cupos.

Mas información en Academia De Entrenamientos

Nuevas variantes de ataque a MikroTik RouterOS vulnerables

En estos últimos meses se han producido diferentes tipo de ataques que se aprovechan de algunas vulnerabilidades del RouterOS y que están haciendo estragos a nivel seguridad.

Varios son los tipos de exploit / ataques que se tienen, de los más extendidos son los que se aprovechan del acceso al router para hacer minería. La forma de trabajar es redireccionando la navegación al webproxy interno del MikroTik y éste a su vez inyecte cierto código en la página web que «ordene» a nuestro dispositivo a realizar minería via Coinhive, Coinimp entre otros.

Ejemplo de código inyectado.

Un monitoreo de Bad Packets LLC utilizando datos de Shodan y Censys encontró que hay de más 250.000 routers MikroTik comprometidos.

Otra metodología que está empleando es la de engañar al usuario indicando que se tiene un navegador (browser) desactualizado y lo invita a descargar la actualización. Dicha descarga es un archivo ejecutable que compromete nuestra pc. 

Al día de hoy (12 de Octubre) a través de las estadísticas de Censys hay alrededor de 11.000 routers MikroTik comprometidos con la página «fake» de descarga del actualizador del browser.

Es increíble la cantidad de dispositivos que están desprotegidos y es por eso que un «hacker bueno» de Rusia está tomando cartas en el asunto y está realizando una campaña para proteger los routers que se encuentran comprometidos para evitar que se sigan atacando.

Según lo que ha comentado en la entrevista realizada por ZDNet, este amigo ha protegido cerca de 100.000 usuarios. Al momento de ingresarles les deja unas reglas de firewall indicando que «se han agregado reglas de protección para evitar el acceso externo y que si desea realizar algún comentario se comunique vía el canal de Telegram @router_os»; pero solamente se contactaron 50 personas.

Cómo hemos mencionado, este tipo de ataque se realiza explotando una vulnerabilidad que ha sido solucionada en MikroTik desde hace meses. El problema que se ha presentado y en el que  se deberá trabajar para evitar algo similar en el futuro, es que empresas que venden routers o administradores que descuidan los mismos, no toman precaución de actualizar el sistema operativo de los dispositivos para evitar este tipo de ataque.

Se puede utilizar el sitio http://checkmyrouter.mkesolutions.net para conocer si nuestro router es vulnerable y es mandatorio actualizarle el sistema operativo.

Más información en BadPackets, Malwarebytes y RedesZone.