Gracias por tu password, router

Una de las tareas habituales que suelo hacer por las man?anas, aparte de leer el arti?culo diario de El lado del mal y otras muy recomendables páginas webs de seguridad, es revisar las nuevas vulnerabilidades y exploits que salen a diario. Cuando se publica un exploit remoto que afecta a algu?n servicio web suelo buscar software comprometido mediante hacking con buscadores, y si encuentro alguna empresa o dominio interesante suelo hacer un escaneo con nmap de varias de las direcciones IP pu?blicas de su rango, por si encuentro algo ma?s. Ya sabe?is, so?lo por saciar un poco la curiosidad.

Una de esas direcciones IP me resulto? curiosa al dar servicio por el puerto 22, 23, 80y 443. Puse la dirección IP en el navegador y me aparecio? so?lo un formulario de usuario y password, sin ma?s. Se me ocurrio? entonces entrar por ssh o telnet. Y la sorpresa fue que cuando entré por telnet me encontre? con este ma?s que sugerente mensaje:

Figura 1: Mensaje de bienvenida que se obtiene en la conexion por telnet

¡Bum! Eran las 06.30 a.m. en ese momento y lo que pareci?a ser un router muy molo?n me estaba dando los buenos di?as con su password de telnet y de enable. Para un pentester es irresistible probar a meter la comilla en la clave. Asi? que… ya sabe?is, probe?, y efectivamente era la clave. Era un router de marca ADTRAN, una fabricante con aparentemente buenos equipos de redes a precios reducidos en comparacio?n con Cisco. Lo tuve que dejar en ese momento porque teni?a que asistir a una clase de Chema Alonso en el Ma?ster en Seguridad Informa?tica de la UEM.

Precisamente comentando con e?l esta curiosa situacio?n, me pregunta: ¿Has buscado el mensaje en Shodan? Pues no lo habi?a hecho, y al hacerlo me arroja nada ma?s y nada menos que unos 10.000 resultados. Increi?ble.

Despue?s de verificar manualmente algunos de ellos y constatar que tambie?n teni?an la clave por defecto, se me ocurrio? la idea de hacer una aplicacio?n que automatizara la tarea; asi? que me puse manos a la obra y desarrolle? una muy simple aplicacio?n en C#que realiza el trabajo sucio y prueba masivamente conexiones telnet. Puedes descargarte TYFYP (Thank you for your password) massive telnet password tester con el código fuente.

Figura 2: TFYPR

So?lo recibe como para?metro un fichero txt con una lista de direcciones IPpreviamente obtenida mediante nmap o mediante Shodan. En una pequen?a prueba de concepto que he realizado con unos 100 routers sacados de Shodan, he obtenido que al menos 20% de ellos son vulnerables por tener password por defecto. Pertenecen a empresas medianas, grandes e incluso hay alguna entidad financiera.

¿Por que? no son todos vulnerables? Pues porque el mensaje que aparece al conectarse vi?a telnet pertenece al “banner motd” del router, es decir el mensaje de bienvenida, que es esta?tico y viene por defecto. Algunas personas cambian los usuarios y no cambian el mensaje por defecto, aunque a veces cometen errores como el que se ve en la siguiente imagen, donde crean nuevos usuarios pero no eliminan el acceso sin usuario y con la clave por defecto o tampoco establecen que la contrasen?a de los usuarios se almacene se forma segura.

?Ante todo esto me pregunto si es necesario que los fabricantes pongan un mensaje tan obvio en el mensaje motd, considerando que el mensaje es esta?tico y no es una verificacio?n real.

Figura 3: el banner en el código es estático

¿Para que? pueden ser usados estos routers mal configurados? Uno de los usos obvios es usarlos como zombies para realizar ataques DDoS, pero existen otro tipo de posibilidades, como por ejemplo buscar desviar e interceptar el tra?fico que pasa por ellos. No soy experto en redes a alto nivel  así que lo estudiare? y buscare? asesori?a. ¡Acepto ayuda! Despue?s de todo la informa?tica es tan amplia como la medicina, ¿no? Un abrazo a todos.

Autor:
Daniel Ferreira @daniel0x00